当当网某站后台构造任意帐号登录

编号140442
Urlhttp://www.wooyun.org/bug.php?action=view&id=140442
漏洞状态漏洞已经通知厂商但是厂商忽略漏洞
漏洞标题当当网某站后台构造任意帐号登录
漏洞类型后台弱口令
厂商当当网
白帽子Hyjal
提交日期2015-09-11 13:51:00
公开日期2015-09-16 13:52:00
修复时间(not set)
确认时间0000-00-00 00:00:00
Confirm Spend-1
漏洞标签敏感接口缺乏认证 越权操作
关注数0
收藏数0
白帽评级
白帽自评rank20
厂商评级
厂商评rank0
漏洞简介
当当网某站后台构造任意帐号登录
漏洞细节

http://doogua.dangdang.com/auth
点击找回密码,抓包

1.png


2.jpg


在JSESSIOND后加入userAuthId、zhName。
userAuthId为数字ID的Base64加密,zhName为我们要构造的用户名的Base64加密,这里构造一个我乌云ID:Hyjal的帐号,数字ID520

3.jpg


Forward,Hyjal用户登录进去了

4.png


在后台操作的时候依然需要抓包,依然是在JESSIOND后加入userAuthId、zhName,就可以正常进行所有后管理操作

POC

来一个权限管理的截图

5.jpg

修复方案

状态信息 2015-09-11: 细节已通知厂商并且等待厂商处理中
2015-09-16: 厂商已经主动忽略漏洞,细节向公众公开
厂商回复None漏洞Rank:4 (WooYun评价)
回应信息危害等级:无影响厂商忽略忽略时间:2015-09-16 13:52
Showing 1-2 of 2 items.
评论内容评论人点赞数评论时间

@当当网 最后一天了,求确认

Hyjal02015-09-16 11:07:00

@疯狗 为什么这个走小厂商啊?是审核的时候把漏洞类型改成后台弱口令的吗?

Hyjal02015-09-11 16:51:00