漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-058129
漏洞标题：七牛云存储逻辑缺陷漏洞大礼包
相关厂商：七牛云存储
漏洞作者： 伟哥
提交时间：2014-04-23 10:19
修复时间：2014-04-23 15:47
公开时间：2014-04-23 15:47
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：15
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-04-23： 细节已通知厂商并且等待厂商处理中
2014-04-23： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
小厂商流程木有爱
详细说明：
某日无聊看到 WooYun: 七牛云储存某处设计缺陷
虽然看不到详情 但是感觉应该存在 平行权限漏洞 所以就检查了一次
0x01 删除任意空间
0x02 申请绑定任意域名
0x01 删除任意空间
https://portal.qiniu.com/operate-confirm/delete-bucket?bucket=adminfw
如图可以看到判断直接用url判断 - -这到底是有多随便啊
如果从来个穷举是不是就可以删除所有空间了？ 危害貌似不大
0x02 绑定、删除任意域名
先给admin空间绑定wooyunweige
然后自己绑定一下 发现这个域名被占用了 任意账号绑定成功！
然后删除admin账号的wooyunweige域名
自己绑定一下 绑定成功 OK 任意删除 成功！
0x03 404页面 防盗链
都存在这类的漏洞 404挂上黑页会怎么样 挂上SEO的黑链又会怎么样
防盗链 把所有域名的防盗链都换成 127.0.0.1 会怎么样
漏洞证明：
最终证明 用户大部分操作都 存在平行权限
点到即止 话说有礼物吗
修复方案：
漏洞细节 或者不懂的 就乌云私戳我吧
版权声明：转载请注明来源 伟哥@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-04-23 15:47
厂商回复：
一个奇妙bug引发的问题。
首先，七牛云存储的bucket是关联到个人，而域名是公共的。也就是说，对某个bucket的操作，一定要有uid才能进行，否则无法确定这个bucket指的是哪个。
而后先看问题01，删除任意空间。url为https:///operate-confirm/delete-bucket?bucket=adminfw，里面只含有bucket。这是因为在使用的session中，包含了调用者的uid。因此才能明确所删除的目标。我们从描述中，并没有发现有什么办法够越过uid，删除别人的bucket。
其次，问题02，申请绑定任意域名。这是一个很微妙的bug。直接调用api的话，可以为一个不存在的bucket绑定一个域名。但是根据我们的测试，这个bucket仍然是调用者自身的。当调用者创建这个bucket时，会发现里面已经存在一个绑定域名。除此外和普通的域名绑定并没有什么区别——别人已经绑定的域名不能取得，也不能操作。
因此，我们判断这个问题为一个普通bug，而并不是漏洞。
最新状态：
暂无
漏洞评价：
评论
-
@七牛云存储 厂商靠谱啊，过程以及现有机制都说清楚了，问题清晰。
( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)