当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-082599

漏洞标题：php云人才系统csrf防护不当可刷钱

相关厂商：php云人才系统

漏洞作者： JJ Fly

提交时间：2014-11-11 15:06

修复时间：2015-02-09 15:08

公开时间：2015-02-09 15:08

漏洞类型：CSRF

危害等级：中

自评Rank：5

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-11-11： 细节已通知厂商并且等待厂商处理中
2014-11-11： 厂商已经确认，细节仅向厂商公开
2014-11-14： 细节向第三方安全合作伙伴开放
2015-01-05： 细节向核心白帽子及相关领域专家公开
2015-01-15： 细节向普通白帽子公开
2015-01-25： 细节向实习白帽子公开
2015-02-09： 细节向公众公开

简要描述：

php云人才系统csrf防护不当可刷钱

详细说明：

搜索了下$_SESSION['pytoken']
一个有两个函数进行了调用
如下

function admin(){
		$r=$this->obj->get_admin_user_shell();
		$this->registrs();
 		if($_POST){
			if($_POST['pytoken']!=$_SESSION['pytoken']){
				unset($_POST['pytoken']);
				$this->obj->ACT_layer_msg("来源地址非法！",3,$this->config['sy_weburl']);
			}
		}
		if(!$_SESSION['pytoken']){
			$_SESSION['pytoken'] = substr(md5(uniqid().$_SESSION['auid'].$_SESSION['ausername'].$_SESSION['ashell']), 8, 12);
		}
		$this->yunset('pytoken',$_SESSION['pytoken']);
	}
	function check_token(){
		if($_SESSION['pytoken']!=$_GET['pytoken'] || !$_SESSION['pytoken'])
		{
			unset($_SESSION['pytoken']);
			$this->obj->ACT_layer_msg("来源地址非法！",8,'index.php');
			exit();
		}
	}


admin这个函数 只进行判断 是不是有post
这样的话 如果get提交数据 便不会检测token。
再就是后台手动完成订单的地方，没有调用check_token这个函数

function setpay_action(){
		$del=(int)$_GET["id"];
		$row=$this->obj->DB_select_once("company_order","`id`='$del'");
		if($row["order_state"]==1||$row["order_state"]==3){
			$nid=$this->upuser_statis($row);
			isset($nid)?$this->layer_msg("充值记录(ID:".$del.")确认成功！",9):$this->layer_msg("确认失败,请销后再试！",8);
		}else{
			$this->layer_msg("订单已确认，请勿重复操作！",8);
		}
	}

漏洞证明：

1.
我们先来下个订单

图片1.png


然后在充值记录生成如下

图片2.png


然后去看下去付款的连接为
http://localhost/phpyun/member/index.php?c=payment&id=1
可以知道 充值记录的id为1
2.
后台中

图片3.png


抓包如下

图片4.png


我们知道没有进行防护
So 我们可以构造出来这样一个url
localhost/phpyun/admin/index.php?m=company_order&c=setpay&id=1
然后让管理员进行访问就可以了。
3.
下面我们把这个url插到企业信息这个页面
然后就等管理员维护企业的时候上钩了，如果着急的话 可以尝试社工

图片5.png


这样 我们便充值成功了

图片6.png

修复方案：

另外知名企业那也没有防护，
其他的地方，希望你们也能检查下。

版权声明：转载请注明来源 JJ Fly@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2014-11-11 15:08

厂商回复：

感谢您的提供，我们会尽快修复并全面检查！

最新状态：

暂无

漏洞评价：

评论