骑士人才系统 7处越权+2处sql

admin
admin
admin
140350
文章
117
评论
2015年7月15日21:34:53评论230 views字数 219阅读0分43秒阅读模式
摘要

2014-10-21： 细节已通知厂商并且等待厂商处理中
2014-10-22： 厂商已经确认，细节仅向厂商公开
2014-10-25： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2014-12-16： 细节向核心白帽子及相关领域专家公开
2014-12-26： 细节向普通白帽子公开
2015-01-05： 细节向实习白帽子公开
2015-01-19： 细节向公众公开

漏洞概要 关注数(7) 关注此漏洞

缺陷编号： WooYun-2014-80114

漏洞标题： 骑士人才系统 7处越权+2处sql 骑士人才系统 7处越权+2处sql

相关厂商： 74cms.com

漏洞作者： menmen519

提交时间： 2014-10-21 17:26

公开时间： 2015-01-19 17:28

漏洞类型： 非授权访问/权限绕过

危害等级： 高

自评Rank： 20

漏洞状态： 厂商已经确认

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签： 设计缺陷/边界绕过

1人收藏

漏洞详情

披露状态：

2014-10-21： 细节已通知厂商并且等待厂商处理中
2014-10-22： 厂商已经确认，细节仅向厂商公开
2014-10-25： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2014-12-16： 细节向核心白帽子及相关领域专家公开
2014-12-26： 细节向普通白帽子公开
2015-01-05： 细节向实习白帽子公开
2015-01-19： 细节向公众公开

简要描述：

骑士人才系统 7处越权+1处sql

详细说明：

wap_user.php:

一下越权都是没有uid的参与，导致任意修改数据库任何记录

第一处:

code 区域 
elseif($act == "resume_work_del")
 {
 
  //越权
  $smarty->cache = false;
  $id=intval($_GET['work_id']);
  $sql="delete from ".table("resume_work")." where id=$id";
  if($db->query($sql)){
   exit("ok");
   // WapShowMsg("删除工作经验成功",1);
  }else{
   exit("err");
   // WapShowMsg("删除工作经验失败",0);
  }
 }

第二处:

code 区域 
// 删除教育经历
 elseif($act == "resume_education_del")
 {
  $smarty->cache = false;
  $id=intval($_GET['education_id']);
  //越权
  $sql="delete from ".table("resume_education")." where id=$id";
  if($db->query($sql)){
   exit("ok");
   // WapShowMsg("删除教育经历成功",1);
  }else{
   exit("err");
   // WapShowMsg("删除教育经历失败",0);
  }
 }

第三处:

code 区域 
elseif($act == "resume_train_del")
 {
  $smarty->cache = false;
  //越权
  $id=intval($_GET['train_id']);
  $sql="delete from ".table("resume_training")." where id=$id";
  if($db->query($sql)){
   exit("ok");
   // WapShowMsg("删除培训经历成功",1);
  }else{
   exit("err");
   // WapShowMsg("删除培训经历失败",0);
  }
 }

第四处:

code 区域 
elseif($act == "resume_evaluation_save")
 {
  $_POST=array_map("utf8_to_gbk",$_POST);
  $smarty->cache = false;
  $id=$_POST['pid'];
  //越权
  $specialty=$_POST['specialty']?$_POST['specialty']:exit("请填写自我评价");
  $sql="update ".table("resume")." set specialty='$specialty' where id=$id";
  if($db->query($sql)){
   exit("ok");
  }else{
   exit("err");
  }
 
 }

这一出 存在sql简单注入$sql="update ".table("resume")." set specialty='$specialty' where id=$id";

第五处:

code 区域 
// 删除屏蔽企业
 elseif($act == "shield_company_del")
 {
  $smarty->cache = false;
  $id=$_GET["id"];
  //越权
  $sql="delete from ".table("personal_shield_company")." where id=$id";
  $db->query($sql)?exit("ok"):exit("err");
 }

第六处:

code 区域 
// 升级高级简历
 elseif($act == "resume_talent")
 {
  $smarty->cache = false;
  $id=$_GET["pid"];
  $setsqlarr["talent"]=3;
  //越权
  updatetable(table("resume"),$setsqlarr,array("id"=>$id))?exit("ok"):exit("err");
 }

第七处:

code 区域 
elseif($act == 'resume_name_save')
 {
  $smarty->cache = false;
  $_POST=array_map("utf8_to_gbk", $_POST);
  $title=trim($_POST['title'])?trim($_POST['title']):exit("请输入简历名称");
  //越权+sql
  $sql="update ".table("resume")." set title='$title' where id=$_POST[resume_id]";
  if($db->query($sql)){
   exit("ok");
  }else{
   exit("err");
  }
  
 }

存在简单sql注入$sql="update ".table("resume")." set title='$title' where id=$_POST[resume_id]";

漏洞证明：

w

修复方案：

版权声明：转载请注明来源 menmen519@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2014-10-22 11:01

厂商回复：

感谢反馈！

最新状态：

暂无

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):

登陆后才能进行评分

评价

  1. 2014-10-21 17:49 | 铁蛋火车侠 ( 普通白帽子 | Rank:156 漏洞数:31 | Q群371620085 技术交流群 有漂亮妹纸！)

    1

    咋这么多嘞

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin