当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0124763

漏洞标题：乌云社区某删除功能存在CSRF漏洞（简单利用需诱骗管理员触发）

相关厂商：乌云官方

漏洞作者： phith0n

提交时间：2015-07-06 16:30

修复时间：2015-08-20 16:34

公开时间：2015-08-20 16:34

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：12

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-07-06： 细节已通知厂商并且等待厂商处理中
2015-07-06： 厂商已经确认，细节仅向厂商公开
2015-07-16： 细节向核心白帽子及相关领域专家公开
2015-07-26： 细节向普通白帽子公开
2015-08-05： 细节向实习白帽子公开
2015-08-20： 细节向公众公开

简要描述：

某漏洞可删帖，不多说了否则被你们一下猜到了么么哒

详细说明：

CSRF删帖，利用十分简单。
zone删（回）帖的函数：

function DelComment(commentId){
	if(confirm("确定删除此内容?")){
		$.get('/index.php?do=edit&act=delcomment',{"fun":"ajax","id":commentId,"r":Math.random()},function(re){
			$("#commentLi_"+commentId).remove();
		});
	}
}


特征：GET请求，没有Token，也没有验证Referer（验不验证referer不重要，后面有说到）。目标URL：http://zone.wooyun.org/index.php?do=edit&act=delcomment&fun=ajax&id=311946
311946即为需要删除的帖子id：

QQ20150705-1@2x.png


（PS：这个id是可以遍历的，也就是我构造一个页面让剑心访问，可以把zone里的帖子删光、。。逃~）
可以任意删帖，但需要有权限的人访问你的页面才行，有点鸡肋。但如果我能构造个更好的利用方法就不鸡肋了。
好方法当然是，如果能直接在zone里发贴，管理员或领主浏览帖子以后即可删帖。
原本是很简单的，只要我帖子里发一张图片就好。但zone里，如果我发的不是图片就显示不出来：

QQ20150705-2@2x.png


所以需要变通一下：
插入图片地址：http://mhz.pw/test_311951.gif，然后302跳转到http://zone.wooyun.org/index.php?do=edit&act=delcomment&fun=ajax&id=311951即可：

QQ20150705-3@2x.png


QQ20150705-5@2x.png


领主或管理员访问该页面，即可触发，删除目标帖子。

漏洞证明：

见上面。

修复方案：

增加token。
验证Referer也是无效的，因为该请求就来自zone.wooyun.org。

版权声明：转载请注明来源 phith0n@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：5

确认时间：2015-07-06 16:32

厂商回复：

漏洞真实存在，感谢 @phith0n 的细心，我们立刻安排伙伴修复。

最新状态：

暂无

漏洞评价：

评论

  1. 2015-07-06 16:33 | Jumbo ( 普通白帽子 | Rank:111 漏洞数:29 | 猫 - http://www.chinabaiker.com)

    ....然后就可以封号了

  2. 2015-07-06 16:36 | answer ( 普通白帽子 | Rank:347 漏洞数:45 | 答案)

    ....然后就可以封号了

  3. 2015-07-06 16:46 | _Thorns ( 普通白帽子 | Rank:882 漏洞数:157 | 收wb 1：5 无限量收 [平台担保]))

    ....然后就可以封号了

  4. 2015-07-06 16:50 | 番茄师傅 ( 普通白帽子 | Rank:254 漏洞数:59 | http://www.tomatoyu.com/)

    ....然后就可以封号了

  5. 2015-07-06 16:54 | Sunshie ( 实习白帽子 | Rank:58 漏洞数:10 | http://phpinfo.me)

    ....然后就可以封号了

  6. 2015-07-06 17:34 | 大物期末不能挂 ( 普通白帽子 | Rank:132 漏洞数:23 | 1.一个学渣，只求每门都不挂2.想把漏洞提...)

    ....然后就可以封号了

  7. 2015-07-06 17:38 | shlhack‘s bother ( 路人 | Rank:2 漏洞数:5 | 大哥是shlhack,二哥是大禹888，lol青铜杀手...)

    ....然后就可以封号了

  8. 2015-07-06 17:39 | 鸟云 ( 路人 | Rank:2 漏洞数:1 | 乌云)

    ....然后就可以封号了

  9. 2015-07-06 17:42 | 窝窝哥 ( 实习白帽子 | Rank:86 漏洞数:29 | 没WB啊啊啊啊！)

    ....然后就可以封号了

  10. 2015-07-06 17:47 | qhwlpg ( 普通白帽子 | Rank:226 漏洞数:54 | 潜心代码审计。)

    ....然后就可以封号了

  11. 2015-07-06 17:52 | 末影人 ( 实习白帽子 | Rank:35 漏洞数:9 | 末影人(Enderman)是一个三个方格高的人形生...)

    ....然后就可以封号了

  12. 2015-07-06 17:59 | Annabelle ( 实习白帽子 | Rank:46 漏洞数:15 | .)

    专业破坏队形

  13. 2015-07-06 18:03 | 有一种精神叫helen ( 实习白帽子 | Rank:31 漏洞数:22 )

    专业破坏队形

  14. 2015-07-06 19:17 | 晏子 ( 路人 | Rank:6 漏洞数:4 | 无)

    ....然后就可以封号了

  15. 2015-07-06 19:41 | Mosuan ( 普通白帽子 | Rank:449 漏洞数:175 | 尘封此号，不装逼了，再见孩子们。by Mosua...)

    ....然后就可以封号了 ----这里是王松，不是Mosuan，我在用Mosuan的号。。。

  16. 2015-07-06 22:08 | Anonymous.L ( 实习白帽子 | Rank:37 漏洞数:8 | 最后一位关注xxxx的人 , 孤独之人)

    ....然后就可以封号了

  17. 2015-07-10 09:12 | 冰@封 ( 路人 | Rank:4 漏洞数:2 | 凄凄黑夜间，残影舞指间。)

    ....然后就可以封号了

  18. 2015-07-26 18:10 | 番茄师傅 ( 普通白帽子 | Rank:254 漏洞数:59 | http://www.tomatoyu.com/)

    ....然后就可以封号了

  19. 2015-08-06 20:08 | abaddon ( 实习白帽子 | Rank:37 漏洞数:10 | 我叫什么名字)

    我的乌云币：27 可用的乌云币：27 冻结的乌云币：0为啥我还是进不去社区

  20. 2015-08-06 20:09 | abaddon ( 实习白帽子 | Rank:37 漏洞数:10 | 我叫什么名字)

    WB低于5不能进入社区，需要前往主站或知识库共享内容如果长时间没有跳转，请点击这里@疯狗

  21. 2015-08-20 17:02 | Format_smile ( 普通白帽子 | Rank:167 漏洞数:67 | ···孰能无过，谁是谁非！渗透穷三代，黑...)

    然后就封号了 哈哈

  22. 2015-08-21 10:17 | 3ang ( 路人 | Rank:2 漏洞数:1 | 风往北吹，你走的好干脆！)

    ....然后就可以封号了