搜索

[18861] 2019-05-23_逻辑漏洞总结（二）

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2019-05-23_逻辑漏洞总结（二） 逻 辑 漏 洞 总 结 （ 二 ） c r h u a   h u a s e c   2 0 1 9 - 0 5 - 2 3 “   f l a g : 坚 持 不 鸽 ” 接 上 一 篇 文 章 ， 0 1 — 商 城 网 站 挖 掘 思 路 1 .   下 单 之 后 ， 修 改 商 品 / 优 惠 价 格 2 .   下 单 之 后 ， 修 改 商 品 数 量 为 负 数 3 .   并 发 购 买 ， 产 生 条 件 竞 争 漏 洞 4 .   商 品 数 量 为 0 时 ， 测 试 是 否 可 以 被 购 买 5 .   生 成 订 单 时 候 ， 修 改 总 金 额 6 .   优 惠 劵 重 复 使 用 ， 同 一 个 优 惠 卷 可 以 使 用 多 个 商 品 。 7 .   用 成 功 支 付 的 状 态 替 换 支 付 失 败 的 状 态 8 .   用 两 个 价 格 相 近 的 商 品 一 正 一 负 购 买 ， 产 生 1 元 购 9 .   漏 洞 优 惠 卷 ， p d d 事 件 1 0 .   购 买 一 个 便 宜 的 商 品 ， 然 后 创 建 一 个 贵 一 点 的 订 单 ， 用 贵 商 品 的 订 单 号 替 换 便 宜 商 品 的 订 单 号 退 货 购 买 商 品 的 基 本 流 程 为 ： 找 到 一 个 商 品 ， 添 加 购 物 车 ， 提 交 订 单 ， 支 付 订 单 ， 在 这 几 个 环 节 中 ， 每 个 环 节 都 可 能 存 在 逻 辑 缺 陷 ， 修 改 商 品 数 量 、 订 单 时 间 、 优 惠 卷 、 商 品 i d 等 等 。 0 2 — 新 东 方 逻 辑 支 付 漏 洞 随 便 找 了 一 个 可 以 优 惠 的 课 程 既 然 都 优 惠 了 那 就 让 它 多 优 惠 一 点 嘛 ， 嘿 嘿 ~ 截 包 修 改 优 惠 金 额 。
接 下 来 提 交 订 单 ， 成 功 了 呢 0 3 — 修 改 密 码 不 合 规 目 标 网 站 目 前 的 密 码 修 改 逻 辑 ： 只 包 含 了 新 密 码 和 新 密 码 确 认
这 样 改 密 码 缺 乏 对 老 密 码 的 校 验   容 易 尝 试 一 个 攻 击 场 景 ： 某 同 事 趁 另 外 同 事 不 在 无 需 老 密 码 ， 修 改 了 该 同 事 的 密 码 。 0 4 — 批 量 重 置 全 站 密 码 目 标 网 站 此 处 的 业 务 逻 辑 存 在 问 题 ， 没 有 验 证 码 保 护 ， 而 且 是 直 接 给 用 户 重 置 了 新 密 码 。 攻 击 者 这 里 抓 包   遍 历 所 有 手 机 号   就 造 成 了 全 站 用 户 密 码 更 改   影 响 巨 大 。
0 5 — 越 权 删 除 附 件 用 户 上 传 了 附 件 ， 删 除 附 件 处 ， 没 有 做 任 何 校 验 ， 只 要 知 道 a t t a c h m e n t _ i d ， a c c e s s _ i d 即 可 将 该 附 件 删 除 。 0 6 — Y a h o o   笔 记 I D O R 我 打 开 了 这 个 雅 虎 网 络 笔 记 的 对 应 网 站   –   h t t p s : / / n o t e p a d . y a h o o . c o m ， 然 后 ， 在 开 启 了 B u r p 抓 包 的 同 时 ， 我 也 在 向 我 的 个 人 笔 记 空 间 中 书 写 笔 记 。 笔 记 记 录 完 之 后 ， 我 在 P r o x y   H T T P   H i s t o r y 标 签 中 进 行 了 检 查 ， 一 个 G E T 请 求 中 的 加 密 字 符 串 映 入 了 我 的 眼 帘 ： 在 u s e r s / 旁 边 的 加 密 字 符 串   -   f z i y 4 w z x r 4 1 k 4 q w s g u m u 2 v 2 q y m y n z a t 6 k c l q p w m c 我 立 马 意 识 到 ， 它 是 我 的 用 户 名 ， 它 被 加 密 然 后 发 送 到 服 务 器 端 ！ 那 我 就 想 着 ， 能 不 能 把 它 换 成 我 明 文 方 式 的 Y a h o o 用 户 名 呢 ?   这 样 一 来 ， 其 构 造 的 G E T 请 求 如 下 ： 让 人 意 外 的 是 ， 我 把 这 个 加 密 字 符 串 换 成 了 我 明 文 方 式 的 Y a h o o 用 户 名 后 ， Y a h o o 服 务 端 的 响 应 和 加 密 字 符 串 的 响 应 是 相 同 的 ， 也 就 是 两 者 的 响 应 内 容 都 是 相 同 的 包 含 同 一 笔 记 内 容 的 J S O N 格 式 ！ 问 题 之 处 在 于 ， Y a h o o   N o t e p a d （ 雅 虎 网 络 笔 记 ） 虽 然 把 用 户 名 进 行 了 加 密 传 输 ， 但 是 在 对 服 务 端 的 请 求 过 程 中 ， 毫 无 对 用 户 名 和 账 户 的 匹 配 检 查 机 制 ， 这 也 就 导 致 了 可 以 通 过 输 入 任 意 用 户 名 来 获 取 任 意 账 户 的 云 端 笔 记 内 容 。 0 7 — 响 应 变 参 数 逻 辑 漏 洞 这 是 一 篇 来 自 k e y 师 傅 的 文 章 ， 参 见 t o o l s ， h t t p s : / / w w w . t 0 0 l s . n e t / a r t i c l e s - 5 0 2 9 4 . h t m l G E T   / w s / v 3 / u s e r s / f z i y 4 w z x r 4 1 k 4 q w s g u m u 2 v 2 q y m y n z a t 6 k c l q p w m c / i t e m s ? f o r m a t = j s o n & c o u n t = 2 0 0 & t y p e = J o u r n a l & w s s i d = 5 5 m J m c M k 3 t g & r a n d = 1 4 7 8 5 4 1 3 0 8 3 9 7 & p r o g = a e o n   H T T P / 1 . 1 H o s t :   c a l e n d a r . y a h o o . c o m G E T   / w s / v 3 / u s e r s / y a h o o - u s e r n a m e / i t e m s ? f o r m a t = j s o n & k w = t e s t & c o u n t = 2 0 0 & t y p e = J o u r n a l & w s s i d = 5 5 m J m c M k 3 t g & r a n d = 1 4 7 8 5 4 1 3 0 8 3 9 7 & p r o g = a e o n   H T T P / 1 . 1
0 8 — 总 结 很 多 漏 洞 需 要 去 思 考 ， 了 解 整 个 业 务 流 程 ， 考 虑 哪 一 环 可 能 会 有 缺 陷 ， 然 后 进 行 f u z z 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理