鸿 网 互 联 www.68idc.cn

搜房网某系统权限控制不严可操作同系统下其他用户数据

来源:互联网 作者:佚名 时间:2016-05-07 10:04
没有平行权限控制。 搜房帮ERP-房产业务管理系统各模块均未有平行权限控制,可操作其他用户各模块功能、盗取用户帐号 http://erp.soufun.com/Publicity/index.html 举几个可利用的: 1、查看其他用户信息 2、查看其他公司内部资讯、内部资讯未过滤可跨站 根据

没有平行权限控制。

搜房帮ERP-房产业务管理系统各模块均未有平行权限控制,可操作其他用户各模块功能、盗取用户帐号

http://erp.soufun.com/Publicity/index.html

举几个可利用的:

1、查看其他用户信息


2、查看其他公司内部资讯、内部资讯未过滤可跨站


根据上面越权查看其他用户信息后,发邮件钓鱼很容易。


3.修改其他用户发布的房源信息,


"敏感备注"可跨站,越权修改其他用户的房源信息,用户下次进入修改时跨站。



 


4、多处存在注入的,但有做过滤防护,

举例:

http://erps.soufun.com/News/NewsDetail.aspx?newsid=4

http://erps.soufun.com/User/UserPurviewList.aspx?deptid=********&deptlevel=1&txtInnerUserID=18
 

修复方案:

验证用户

网友评论
<