漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0111023
漏洞标题：SVNChina中国源代码托管平台设计缺陷致命漏洞（指谁打谁可拿网站任意用户）
相关厂商：svnchina.com
漏洞作者： 冰海
提交时间：2015-04-29 13:58
修复时间：2015-05-04 14:00
公开时间：2015-05-04 14:00
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-04-29： 细节已通知厂商并且等待厂商处理中
2015-05-04： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
还是引用之前的那句话，处处留心皆学问……
详细说明：
0x00 发现漏洞
漏洞是在修改资料---修改邮箱处发现的，如下所示：
这里填写一个要修改绑定的邮箱，点击"确认修改，重发激活邮件"链接，在此处抓包：
图1：
图2：
在图1中user_id和email可以任意替换，cookie未校验，无效，可以删掉。
漏洞证明：
0x01 漏洞利用，指谁打谁
比如我想拿用户user_id为40000的用户，邮箱填写自己的邮箱，构造参数为：
/ajax.php?ac=edit_email&user_id=40000&[email protected]，在邮箱中可以收到激活邮件，如下：
点击链接或访问下方链接，即可直接登录进入此用户账号，修改用户密码，查看用户创建或加入的项目，达到完全控制此用户账号的目的，指谁打谁意思是上述user_id可以任意替换，任意修改邮箱激活并进入此用户主页。如下：
图1：
图2：
图2处不需要输入用户原密码，输入新密码和确认新密码即可修改用户密码，次数不安全，也需要进行安全策略调整，参考：
在后台管理--修改密码处，此处修改密码需要输入用户原密码，建议前台修改密码处加此功能。
修复方案：
1.邮箱修改激活功能处需要加cookie或其它校验，此处为核心漏洞，需谨慎对待；
2.建议点击激活邮件后不要直接进入用户个人中心，如果用户已登录此网站，用cookie直接进入登录页，如果未登录，需用户输入账号密码才可以登录；
3.邮箱未设唯一属性，可以用同一邮箱跑网站所有用户，重置修改所有用户密码，并抓取所有用户信息，参考：
WooYun: svnchina中国源代码托管平台设计缺陷导致密码门事件
ps:几天内发现svnchina两大漏洞，其中一处为致命漏洞，蛮辛苦的，礼物、礼物……@#%$^
版权声明：转载请注明来源 冰海@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2015-05-04 14:00
厂商回复：
漏洞Rank：15 (WooYun评价)
最新状态：
暂无