当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0116493

漏洞标题:爱奇艺昵称任意修改(可伪装admin)

相关厂商:奇艺

漏洞作者: Broken

提交时间:2015-05-27 16:33

修复时间:2015-07-11 17:08

公开时间:2015-07-11 17:08

漏洞类型:设计缺陷/逻辑错误

危害等级:中

自评Rank:5

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-05-27: 细节已通知厂商并且等待厂商处理中
2015-05-27: 厂商已经确认,细节仅向厂商公开
2015-06-06: 细节向核心白帽子及相关领域专家公开
2015-06-16: 细节向普通白帽子公开
2015-06-26: 细节向实习白帽子公开
2015-07-11: 细节向公众公开

简要描述:

爱奇艺昵称有重复是无法更改的,通过该漏洞可强行更改

详细说明:

QQ截图20150527144022.png


QQ截图20150527144033.png


截图将昵称改成admin,将爱奇艺修改昵称的GET包截取下来,模拟GET提交请求,在nickname的值里面就是昵称,昵称前面+空格,就可以随意更改,例如:
http://www.iqiyi.com/u/api/user/update_user_info?nickname= admin&antiCsrf=6b6fbbcf98369ceb046c5732cfb16819&callback=window.Q.__callbacks__.cbp73e2g
就是在admin前面加了一个空格,结果返回修改成功

漏洞证明:

http://www.iqiyi.com/u/api/user/update_user_info?nickname=【空格+需要改的名称】&antiCsrf=6b6fbbcf98369ceb046c5732cfb16819&callback=window.Q.__callbacks__.cbp73e2g

修复方案:

服务端去除空格或空行后在进行效验昵称是否存在

版权声明:转载请注明来源 Broken@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:3

确认时间:2015-05-27 17:07

厂商回复:

感谢提交。 测试发现后端确实对%0a %0d的处理不当,检查和入库逻辑有问题,破坏了昵称的唯一性。 但此bug不影响用户权限。 我们尽快联系开发整改。 再次感谢 :)

最新状态:

暂无


漏洞评价:

评论

  1. 2015-05-27 16:33 | 浩天 认证白帽子 ( 普通白帽子 | Rank:915 漏洞数:79 | 度假中...)

    好洞

  2. 2015-05-27 16:57 | 白非白 ( 普通白帽子 | Rank:447 漏洞数:60 | ♫ Freedom - Anthony Hamilton ♫)

    关注一下

  3. 2015-05-27 17:13 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    一堆这种字符?

  4. 2015-05-27 22:23 | only_admin ( 路人 | Rank:11 漏洞数:5 | ~~~~我只是个孩子╭(°A°`)╮~~~~)

    @浩天 @xsser http://wooyun.org/bugs/wooyun-2015-0115952/trace/2feaf1f3e779c7ab1c7a1c06091a54afhttp://wooyun.org/bugs/wooyun-2015-0115948/trace/64626f68720b48bfcc683d161151fa2a漏洞求审