当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：
wooyun-2014-077907
漏洞标题：
CuuMall免费开源商城系统 存在邮件欺骗风险 可劫持用户名和密码
相关厂商：
cuumall.com
漏洞作者：
menmen519
提交时间：
2014-10-10 14:36
修复时间：
2014-12-30 14:44
公开时间：
2014-12-30 14:44
漏洞类型：
设计缺陷/逻辑错误
危害等级：
中
自评Rank：
10
漏洞状态：
漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源：
http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签：
无
分享漏洞：
4人收藏 收藏
分享漏洞：
>

漏洞详情

披露状态：

2014-10-10： 细节已通知厂商并且等待厂商处理中
2014-10-15： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2014-12-09： 细节向核心白帽子及相关领域专家公开
2014-12-19： 细节向普通白帽子公开
2014-12-29： 细节向实习白帽子公开
2014-12-30： 细节向公众公开

简要描述：

CuuMall免费开源商城系统 header欺骗风险 可劫持用户名和密码

详细说明：

直接看代码:
loginAction.class.php:(161-192):

public function getpassword( )
				{
								$username = $_POST['username'];
								$mail = $_POST['email'];
								$us = new Model( "m_member" );
								$d_us = $us->where( "username='".$username."'" )->find( );
								if ( empty( $d_us ) )
								{
												$this->assign( "waitSecond", 3 );
												$this->assign( "msgTitle", "错误！" );
												$this->assign( "jumpUrl", "__APP__/home/login/getpass" );
												$this->error( "用户名不存在" );
												exit( );
								}
								if ( $d_us['email'] != $mail )
								{
												$this->assign( "waitSecond", 3 );
												$this->assign( "msgTitle", "错误！" );
												$this->assign( "jumpUrl", "__APP__/home/login/getpass" );
												$this->error( "认证邮箱不正确！" );
												exit( );
								}
								$data['mailstate'] = 1;
								$us->data( $data )->where( "username='".$username."'" )->save( );
								$pass = $d_us['password'];
								$url = "http://".$_SERVER['SERVER_NAME']."/index.php/home/login/setpass/user/".$username."/pass/".$pass;
								vendor( "mail.class-phpmailer" );
								$title = "=?UTF-8?B?".base64_encode( c( "MALLNAME" )."密码找回" )."?=";
								$headers = "MIME-Version:1.0\r\n";
								$headers .= "Content-type:text/plain;charset=utf-8\r\n";
								$headers .= "Content-Transfer-Encoding:8bit\r\n";
								$body = c( "MALLNAME" )."用户您好，您于".date( "Y-m-d H:i:s" )."使用了密码找回服务,请点击以下链接修改密码 \n\n".$url."\n\n如果链接无法点击，请将该链接复制到浏览器(如IE)的地址栏中访问。\n如不是您本人操作请删除该邮件！\n本邮件由系统自动发出，请勿回复。";
								$html = $body;
								$mm = new PHPMailer( );


发现了没有 这里只需要判断两个东西
1.username 2.email
然而发送给客户的邮件是一个链接 这个链接是:
$url = "http://".$_SERVER['SERVER_NAME']."/index.php/home/login/setpass/user/".$username."/pass/".$pass;
看到这里我们就想通了 这里的$_SERVER['SERVER_NAME'] 是可以欺骗的
这里我们直接在入口index处打印一下$_SERVER['SERVER_NAME']，重新构造一下host

7.png


这时候 我们就随便访问一个链接 然后看看这个东西是否可以构造

8.png


这里实际上发送到passwordreset.net 站点了 ，当某某人 好奇心点击一下 密码就被窃取了
原理很简单

漏洞证明：

修复方案：

对$SEVER[host]做判断

版权声明：转载请注明来源 menmen519@乌云

>

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-12-30 14:44

厂商回复：

最新状态：

暂无