漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-014412
漏洞标题：邦购网取消任意用户订单
相关厂商：banggo.com
漏洞作者： 小胖胖要减肥
提交时间：2012-11-06 10:34
修复时间：2012-12-21 10:35
公开时间：2012-12-21 10:35
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-11-06： 细节已通知厂商并且等待厂商处理中
2012-11-07： 厂商已经确认，细节仅向厂商公开
2012-11-17： 细节向核心白帽子及相关领域专家公开
2012-11-27： 细节向普通白帽子公开
2012-12-07： 细节向实习白帽子公开
2012-12-21： 细节向公众公开
简要描述：
邦购网取消任意用户订单，这个还不会受前台10分钟不能取消的限制，个人感觉比网站瘫痪还严重，要礼物，不要学习京东，修复后忽略，不然就是黑名单
详细说明：
用户A,B分别2台电脑登陆，下好单，A可以作废B的订单，其实只要有接口地址，有登陆状态，直接作废所有用户订单，还不受前台10分钟无法取消订单限制，随便下2个单据知道订单规则，遍历所有之后的订单，跑个小脚本，然后就等着客服电话打爆
接口地址
http://member.banggo.com/MemberTrade/cancelOrder?orderSn=121105411598&cancel_reason=%E6%94%AF%E4%BB%98%E4%B8%8D%E6%88%90%E5%8A%9F
接口返回数据
{"status":1,"message":"\u53d6\u6d88\u8ba2\u5355\u6210\u529f\uff01"}
漏洞证明：
第一个下的订单
订单状态变为交易关闭，不超过1分钟，前台取消限制是10分钟，可以查数据库日志，和谁去关闭了，是否属于当前用户
修复方案：
没有校验是否当前用户，如果不是当前用户应该直接跳到404，执行action的时候没有验证，估计直接套用了框架，都是框架惹的祸，执行接口的时候做校验或关联session或cookies，测试的时候多测测代码逻辑。还没有收到过礼物
版权声明：转载请注明来源 小胖胖要减肥@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2012-11-07 11:40
厂商回复：
谢谢好友提醒
最新状态：
暂无