搜房网经纪人店铺某处越权（删、改）

在经纪人店铺管理后台有个成交房源管理的功能！而最近这个功能要进行严打了~

随手测试了下 发现此处可越权删除所有和修改所有任意经纪人的任意成交房源! 且让我一一道来~

在删除上面右键属性，我得到一个链接，而这个链接是个get形式存在的~

http://b.agent.fang.com/magent/House/trade/HouseManager.aspx?action=del&id=8888

链接后面的8888是这套房源的编号~ 设想：如果我遍历ID是不是就可以删掉所有的房源了呢？

结果是可以的~

为了证实这个的可行性，我找个其他经纪人的房源进行测试！

随便找个经纪人店铺 看下他的成交房源~

这里他一共是56套房源成交~

在上图的红框中的房源上面 查看源码 得到此成交房源的ID（下图中的款选部分为ID编号）

我们构造地址来试试可否被删除！

http://b.agent.fang.com/magent/House/trade/HouseManager.aspx?action=del&id=52707

嗯，访问链接，房源提示被删除，我们去他的店铺首页看看！

还剩下55套房源，少的那一套就是被我删除的那一条~~

----------------------------------------------------

修改和删除情况差不多，点查看 得到地址和房源ID

然后找到别人房子的ID 访问就能获取修改权限了~~

这里就不罗嗦了~~ 上张图就能证明了

在经纪人店铺管理后台有个成交房源管理的功能！而最近这个功能要进行严打了~

随手测试了下 发现此处可越权删除和修改任意经纪人的任意成交房源! 且让我一一道来~

在删除上面右键属性，我得到一个链接，而这个链接是个get形式存在的~

http://b.agent.fang.com/magent/House/trade/HouseManager.aspx?action=del&id=8888

链接后面的8888是这套房源的编号~ 设想：如果我遍历ID是不是就可以删掉所有的房源了呢？

结果是可以的~

为了证实这个的可行性，我找个其他经纪人的房源进行测试！

随便找个经纪人店铺 看下他的成交房源~

这里他一共是56套房源成交~

在上图的红框中的房源上面 查看源码 得到此成交房源的ID（下图中的款选部分为ID编号）

我们构造地址来试试可否被删除！

http://b.agent.fang.com/magent/House/trade/HouseManager.aspx?action=del&id=52707

嗯，访问链接，房源提示被删除，我们去他的店铺首页看看！

还剩下55套房源，少的那一套就是被我删除的那一条~~

----------------------------------------------------

修改和删除情况差不多，点查看 得到地址和房源ID

然后找到别人房子的ID 访问就能获取修改权限了~~

这里就不罗嗦了~~ 上张图就能证明了

控制权限~~

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2014-10-27 13:10

厂商回复：

感谢您对搜房安全的关心，您反馈的问题已经提交后台并已修复。

最新状态：

暂无

1. 2014-10-27 09:09 | sou ( 路人 | Rank:5 漏洞数:1 | sou)

   1

   哎哎，这个给58赶集啊，疯狂删啊，多美好的洞洞啊

   1# 回复此人

2. 2014-10-27 10:03 | 0x_Jin ( 普通白帽子 | Rank:319 漏洞数:37 | 微博：http://weibo.com/J1n9999 ...)

   1

   搜房每个子站几乎全部有存储型XSS 经纪人那个在相册那有个。。。

   2# 回复此人

3. 2014-12-12 10:03 | 小飞侠 ( 路人 | Rank:4 漏洞数:2 | 好好学习，天天向上)

   1

   赞一个~

   3# 回复此人