百合网用户每天签到曝未授权访问漏洞

漏洞标题: 百合网可以为任意配合用户每天签到
相关厂商: 百合网
漏洞作者: 路人甲
提交时间: 2012-12-14
公开时间: 2012-12-18
漏洞类型: 未授权访问/权限绕过
危害等级: 高
自评Rank: 15
漏洞状态: 漏洞已经通知厂商但是厂商忽略漏洞

漏洞详情

披露状态:

2012-12-14: 细节已通知厂商并且等待厂商处理中
2012-12-18: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:
百合网推出业务,冲会员签到返话费。但是他们的签到系统存在着权限验证漏洞,只要用户把自己的mac值和id值记下来,就可以每天随时签到了。根本不用用户名和密码。
已经提交官方微博,但是一周过去了,毫无反应。

详细说明:
百合网推出业务,冲会员签到返话费。但是他们的签到系统存在着权限验证漏洞,只要用户把自己的mac值和id值记下来,就可以每天随时签到了。根本不用用户名和密码。
已经提交官方微博,但是一周过去了,毫无反应。

这个漏洞的前提是用户把自己的mac值先取到。通过下面的模块可以获得mac值。
!taskInfo.action?jsoncallback=?&_dc=然后替换mac和id就可以了
?jsoncallback=jsonp1355490185120&category=0&type=0&mac={mac}&userID={id}&_dc=1355490149387&_=1355490149387
第二个网址就是每天签到的功能实现,这个网站可以在任意电脑上运行,根本就不需要用户名密码。目前观察情况下,每天的mac值是一样一样的。

漏洞证明:

百合网用户每天签到曝未授权访问漏洞

远程执行后,本地的签到状态已经改变。

百合网用户每天签到曝未授权访问漏洞

修复方案:

模块增加用户权限验证,并且mac值设为可变值。