漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-073194
漏洞标题：虎扑某功能存在水平越权
相关厂商：虎扑体育网
漏洞作者： zj1244
提交时间：2014-08-20 16:57
修复时间：2014-10-04 16:58
公开时间：2014-10-04 16:58
漏洞类型：未授权访问/权限绕过
危害等级：中
自评Rank：7
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-08-20： 细节已通知厂商并且等待厂商处理中
2014-08-20： 厂商已经确认，细节仅向厂商公开
2014-08-30： 细节向核心白帽子及相关领域专家公开
2014-09-09： 细节向普通白帽子公开
2014-09-19： 细节向实习白帽子公开
2014-10-04： 细节向公众公开
简要描述：
最近在尝试做一个检测越权的工具，测试工具可用性的时候检测到的。顺手提交了
详细说明：
用户动态可随意删除。具体存在越权的地方如下图：
删除动态的时候抓包，可以看到提交的请求如下：
其中18931500是用户id，57660121是动态id，1144是动态里关联内容的id（如：动态是关注人，这里就是对方的id），type是动态类型（可能是关注人的动态或者是推荐帖子的动态）
接下来找个用户测试下，我们要删除半城孤魂的“13-14赛季的常规赛统计大楼 (火箭专区)”动态，先找到这个动态关键id，右键审查元素，如下：
把这几个id替换上面对应的id，替换如下：
提交后可以看到相应的动态已经被删除了，如果把相应的id从1循环到999999，应该可以把所有用户的动态都删掉
漏洞证明：
相应的动态已被删除
修复方案：
判断权限！
版权声明：转载请注明来源 zj1244@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2014-08-20 19:03
厂商回复：
感谢白帽子的支持和贡献，我们会评估和分析解决，谢谢。
最新状态：
暂无