漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-065924
漏洞标题：悠哉网多处越权造成的说走就走还不要钱的旅行
相关厂商：悠哉旅游网
漏洞作者： JJ Fly
提交时间：2014-06-23 13:26
修复时间：2014-08-07 13:30
公开时间：2014-08-07 13:30
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-06-23： 细节已通知厂商并且等待厂商处理中
2014-06-24： 厂商已经确认，细节仅向厂商公开
2014-07-04： 细节向核心白帽子及相关领域专家公开
2014-07-14： 细节向普通白帽子公开
2014-07-24： 细节向实习白帽子公开
2014-08-07： 细节向公众公开
简要描述：
悠哉网多处越权造成的说走就走还不要钱的旅行（订单查看修改）
详细说明：
首先我们先来说三点。
1.获取任意手机号的订单
2.获取到这个之后 我们来尝试下怎么对订单进行修改
地址构造下就行 （存在越权）
http://u.uzai.com/manage/order_details/F8C8B3C90B0B0EA5
3.下面我们就看到了整个订单（包括联系人和乘客信息） 。在订单的位置 我们是可以修改联系人的。但是不能修改乘客信息。
但是只有这三点，我们还是不能来一场说走就走还不要钱的旅游。
下面继续。
漏洞证明：
首页中有个地方能显示手机号。
只有四位是隐藏的。爆破下也就一会。
So easy
下面我们能修改联系人的信息了。
但是想要来一次说走就走还不要钱的旅游，我们得修改游客的信息。
我们新创建一个订单，最好跟人家的订单一样 尤其是人数。因为我们需要替换成我们的游客信息。
具体订单信息可以在订单详情处看到。
（下面的测试用的自己申请的小号，未修改任意客户信息。）
然后我们来创建一个订单。下面是设置游客信息的地方。
下一步然后抓包。下面是post的数据。
我们需要把订单号修改下。527358。
这个订单号怎么查呢。
我们来订单详情这，查看他的源代码。
http://u.uzai.com/manage/order_details/F8C8B3C90B0B0EA5
这个 527331就是他的订单id 我们来替换他。
但是只有这样是不行的，我们还需要修改一处别的。就是发包的cookies
我们下面就需要遍历了。其实遍历的数据也不多 508939（这是我的id）开始从大到小
嘿嘿，估计一会订单的信息就修改好了。
好了 订单信息就修改完成了 。
到此，一场说走就走还不要钱的旅游就开始了。
(如果不想走，这个方法还可以变量所有用户的信息。)
最后，由于测试中生成了好多订单。估计得10多个。给工作人员造成了影响。Sorry。。。。
求上首页，求高rank。
修复方案：
版权声明：转载请注明来源 JJ Fly@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2014-06-24 14:57
厂商回复：
已安排人处理了，非常感谢。
最新状态：
暂无