Online Contact Manager 3.0 view.php id Parameter XSS

2014-07-01T00:00:00
ID SSV:86195
Type seebug
Reporter Root
Modified 2014-07-01T00:00:00

Description

存在漏洞版本:

<=3.0

漏洞描述:

Online Contact Manager 3.0 是一个web上的联系人管理系统应用。其存在由于用户的非正常输入导致的危险. 远程的用户可以注入 SQL 命令, 同时也能够执行跨站脚本攻击. 远程的用户也可以植入 html 来挂马

'view.php' 脚本没有正确的验证用户对于 ‘id’ 变量的输入。一个远程的用户可以创建一个特殊构造的 URL, 当目标用户加载此页面的时候, 将会造成目标用户的浏览器上的任意代码的执行.这个代码将会在 Online Contact Manager 中执行,会在整个网站的安全背景下运行。因此, 通过注入的代码,我们可以获得到用户的认证cookies, 登陆后台, 得到整个网站的权限, 得到网站上所有用户的数据。

测试方法:

XSS:

http://server/OCM/view.php?id=[xss]

远程的用户也可以提供一个特别的精巧制作的are参数去执行 SQL 命令

http://server/OCM/view.php?id=[sqli]

植入 html 以便进一步攻击:

http://server/OCM/view.php?id=[html]

Discovered by:

L0rd CrusAd3r aka VSN

漏洞影响:

攻击者可以获得远程用户的cookies,进一步得到整个网站的数据

产生原因:

访问控制错误 未过滤输入