当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-084203

漏洞标题：WSS最新版任意用户密码重置（官方demo演示）

相关厂商：WSS Lab

漏洞作者： xfkxfk

提交时间：2014-11-22 10:59

修复时间：2014-12-30 14:44

公开时间：2014-12-30 14:44

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：20

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-11-22： 细节已通知厂商并且等待厂商处理中
2014-11-27： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2015-01-21： 细节向核心白帽子及相关领域专家公开
2015-01-31： 细节向普通白帽子公开
2015-02-10： 细节向实习白帽子公开
2014-12-30： 细节向公众公开

简要描述：

WSS最新版设计缺陷导致任意用户密码重置，包括管理员，官方demo演示

详细说明：

WSS最新版设计缺陷导致任意用户密码重置，包括管理员
文件user_edit_password.php

<?php require_once('config/tank_config.php'); ?>
<?php require_once('session_unset.php'); ?>
<?php require_once('session.php'); ?>
<?php
$editFormAction = $_SERVER['PHP_SELF'];
if (isset($_SERVER['QUERY_STRING'])) {
  $editFormAction .= "?" . htmlentities($_SERVER['QUERY_STRING']);
}
$password = "-1";
if (isset($_POST['tk_user_pass'])) {
  $password = $_POST['tk_user_pass'];
}
$tk_password = md5(crypt($password,substr($password,0,2)));
if ((isset($_POST["MM_update"])) && ($_POST["MM_update"] == "form1")) {
  $updateSQL = sprintf("UPDATE tk_user SET tk_user_pass=%s WHERE uid=%s",
                       GetSQLValueString($tk_password, "text"),
                       GetSQLValueString($_POST['ID'], "int"));
  mysql_select_db($database_tankdb, $tankdb);
  $Result1 = mysql_query($updateSQL, $tankdb) or die(mysql_error());


此文件及功能为修改用户密码，本为后台管理员权限
但是由于设计缺陷，导致未判断用户权限，导致全部用户都可以重置任意用户密码
通过POST[ID]即可重置对应用户密码了

漏洞证明：

官方demo演示：
官方demo测试账户为只读账户
这里我们利用漏洞可以重置admin用户密码

1.png


保存成功
如果UID不正确会返回错误，没权限，但是不影响密码重置
这里测试用户的UID=7
重置之后，admin用户登录：

2.png

修复方案：

$restrictGoTo = "user_error3.php";
if ($_SESSION['MM_rank'] < "5") {   
  header("Location: ". $restrictGoTo); 
  exit;
}


将上面代码放到最前面即可

版权声明：转载请注明来源 xfkxfk@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-12-30 14:44

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2014-11-22 11:43 | sco4x0 ( 实习白帽子 | Rank:31 漏洞数:13 | O_o)

    不会和我那个撞了吧。

  2. 2014-11-22 12:14 | xfkxfk 认证白帽子 ( 核心白帽子 | Rank:2179 漏洞数:338 | 呵呵！)

    @sco4x0 你那个没猜错的话应该在default_user_edit.php有权限制的，这个为不同地方，且没有限制

  3. 2014-11-24 00:54 | 静默 ( 路人 | Rank:8 漏洞数:6 | 安全小白)

    总编，你天天这么挖洞不带我们这些小弟，真的好么，表示default_user_edit.php很容易复现，不知道你的这个是哪里的

  4. 2014-11-24 09:42 | sco4x0 ( 实习白帽子 | Rank:31 漏洞数:13 | O_o)

    @xfkxfk 只读权限都能重置么。

  5. 2014-11-24 09:52 | xfkxfk 认证白帽子 ( 核心白帽子 | Rank:2179 漏洞数:338 | 呵呵！)

    @sco4x0 en

  6. 2014-11-27 13:58 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    叼叼

  7. 2014-12-31 11:27 | BMa ( 普通白帽子 | Rank:1776 漏洞数:200 )

    @xfkxfk 修复方案里$_SESSION['MM_rank']不可以构造？