当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-082599

漏洞标题:php云人才系统csrf防护不当可刷钱

相关厂商:php云人才系统

漏洞作者: JJ Fly

提交时间:2014-11-11 15:06

修复时间:2015-02-09 15:08

公开时间:2015-02-09 15:08

漏洞类型:CSRF

危害等级:中

自评Rank:5

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-11-11: 细节已通知厂商并且等待厂商处理中
2014-11-11: 厂商已经确认,细节仅向厂商公开
2014-11-14: 细节向第三方安全合作伙伴开放
2015-01-05: 细节向核心白帽子及相关领域专家公开
2015-01-15: 细节向普通白帽子公开
2015-01-25: 细节向实习白帽子公开
2015-02-09: 细节向公众公开

简要描述:

php云人才系统csrf防护不当可刷钱

详细说明:

搜索了下$_SESSION['pytoken']
一个有两个函数进行了调用
如下

function admin(){
$r=$this->obj->get_admin_user_shell();
$this->registrs();
if($_POST){
if($_POST['pytoken']!=$_SESSION['pytoken']){
unset($_POST['pytoken']);
$this->obj->ACT_layer_msg("来源地址非法!",3,$this->config['sy_weburl']);
}
}
if(!$_SESSION['pytoken']){
$_SESSION['pytoken'] = substr(md5(uniqid().$_SESSION['auid'].$_SESSION['ausername'].$_SESSION['ashell']), 8, 12);
}
$this->yunset('pytoken',$_SESSION['pytoken']);
}
function check_token(){
if($_SESSION['pytoken']!=$_GET['pytoken'] || !$_SESSION['pytoken'])
{
unset($_SESSION['pytoken']);
$this->obj->ACT_layer_msg("来源地址非法!",8,'index.php');
exit();
}
}


admin这个函数 只进行判断 是不是有post
这样的话 如果get提交数据 便不会检测token。
再就是后台手动完成订单的地方,没有调用check_token这个函数

function setpay_action(){
$del=(int)$_GET["id"];
$row=$this->obj->DB_select_once("company_order","`id`='$del'");
if($row["order_state"]==1||$row["order_state"]==3){
$nid=$this->upuser_statis($row);
isset($nid)?$this->layer_msg("充值记录(ID:".$del.")确认成功!",9):$this->layer_msg("确认失败,请销后再试!",8);
}else{
$this->layer_msg("订单已确认,请勿重复操作!",8);
}
}

漏洞证明:

1.
我们先来下个订单

图片1.png


然后在充值记录生成如下

图片2.png


然后去看下去付款的连接为
http://localhost/phpyun/member/index.php?c=payment&id=1
可以知道 充值记录的id为1
2.
后台中

图片3.png


抓包如下

图片4.png


我们知道没有进行防护
So 我们可以构造出来这样一个url
localhost/phpyun/admin/index.php?m=company_order&c=setpay&id=1
然后让管理员进行访问就可以了。
3.
下面我们把这个url插到企业信息这个页面
然后就等管理员维护企业的时候上钩了,如果着急的话 可以尝试社工

图片5.png


这样 我们便充值成功了

图片6.png

修复方案:

另外知名企业那也没有防护,
其他的地方,希望你们也能检查下。

版权声明:转载请注明来源 JJ Fly@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2014-11-11 15:08

厂商回复:

感谢您的提供,我们会尽快修复并全面检查!

最新状态:

暂无


漏洞评价:

评论