本文来自网络抓取,如果侵权请联系删除

作者:区块链学习 来源:区块链百科

简介:本文内容由区块链分析师整理编辑
主要讲解的内容是:近日BUGX平台收到一个基于POSCMS开发的交易所高危漏洞。此漏洞利用XSS(Cross Site Scripting)+CSRF(Cross-site request forgery)组合型通用漏洞,漏洞可把普通会员提升为交易所管... ......的相关信息,具体详情阅读下文。

近日BUGX平台收到一个基于POSCMS开发的交易所高危漏洞。此漏洞利用XSSCross Site Scripting+CSRFCross-site request forgery组合型通用漏洞,漏洞可把普通会员提升为交易所管理员权限,登录管理后台进行敏感操作。已导致多家交易所中招。

BUGX 官方人员在第一时间联系了框架开发人员,沟通无果,故发布本文章,希望厂商、用户们提高警惕。

 一、漏洞分析

在我们印象中XSS漏洞可以获取其他人账户CookieToken,但是要进一步利用漏洞就要多花一些心思了,下面介绍一个白帽子利用XSS+CSRF提升普通会员权限为管理员权限的方式,查找同源网站,可得到多个后台网站管理员账户。

 【漏洞预警】某通用交易所框架组合型严重漏洞!配图(1)

在利用上述漏洞之前,白帽子通过其他方式拿到了某一网站后台管理员账户弱密码,在得到网站账户密码之后去深入测试一下网站的其他安全性。在申请实名认证的某处发现了一处XSS存储型漏洞。

 【漏洞预警】某通用交易所框架组合型严重漏洞!配图(2)

在此网站POSCMS也对CSRF进行了防护,网站采用Referer进行防护,但是对于本身就是审核人员在审核会员消息时触发的恶意代码,所以Referer验证会被绕过。下图是对POSCM V3.2.0开源网站创建管理员所抓取的数据包。通过数据包可以看到对会员权限更改的数据包,当data[adminid]=1时是把普通用户权限更改成管理员账户,网站并未对CSRF做过多的防护,可以尝试伪造数据包对网站进行CSRF攻击。

【漏洞预警】某通用交易所框架组合型严重漏洞!配图(3)

转过来我们来看一下POSCM V3.2.0开源添加管理员账户的源码。在diy/dayrui/controllers/admin/Root.php53行开始。可以看出,在创建管理员账户的时候逻辑是选择此会员属于那种权限,再判断执行操作的角色的权限是否能赋予此权限。然后判断会员是否注册,若未注册则注册会员。

【漏洞预警】某通用交易所框架组合型严重漏洞!配图(4)

在添加管理员对数据包中的会员名称、角色组和姓名进行了赋值。然后进行更新数据库。一个完整添加更新管理员就这样完成了

【漏洞预警】某通用交易所框架组合型严重漏洞!配图(5)

  

回顾整个网站,有个可触发的XSS漏洞,同时网站更改会员权限也未对数据来源未进行彻底验证,存在CSRF漏洞。白帽子XSS+CSRF漏洞利用方式是在XSS漏洞处插入使普通会员升级为网站管理员权限的恶意代码,当网站审核人员审核会员信息时会触发XSS漏洞中的恶意代码进而执行恶意代码,对普通会员权限升级到管理员权限,登陆管理后台。

【漏洞预警】某通用交易所框架组合型严重漏洞!配图(6)

二、漏洞影响

漏洞主要影响使用当前版本的POSCMS框架的网站。

同时受影响的平台,可在后台发现上万条的实名认证信息,影响极大。

 【漏洞预警】某通用交易所框架组合型严重漏洞!配图(7)

三、列举部分同源框架网站

https://ccnex.com/

https://www.crex.top

https://www.bitqq.vip/

http://mhtx.io/

https://bitally.com

https://bk-coin.top/

https://www.magiccubeex.com

https://www.futureex.cc/

https://chain-market.net/

https://www.biex.io

四、结论

使用google搜索找相似的交易所网站能发现大量的同源网站。这些网站几乎都存在这种漏洞。在这里BUGX平台希望各个交易所厂商,谨慎选择网站开发厂商,如若发现平台漏洞及时修复,提升网站安全。用户们也应该注意使用的交易平台是否有安全风险,避免重要信息泄露。

五、关于BUGX

BUGX.IO作为区块链安全服务平台,专注于区块链生态安全、行业解决方案、安全建设、红蓝对抗等领域。

BUGX.IO生态系统是一个分布式专业安全服务平台,致力于通过人机结合的方式,为区块链生态厂商提供安全解决方案。平台通过安全社区与区块链之间的连接,鼓励安全专家对区块链生态应用合法安全测试,自动化审计协议依赖于去中心化的区块链网络,缓解整个流程中可能的恶意行为,为人工和自动化安全检测提供所需的算力和可靠的信用保障。

以上就是区块链资讯网分享关于" 【漏洞预警】某通用交易所框架组合型严重漏洞!"的相关内容了,希望对你起到一定的帮助,想了解更多的区块链新闻敬请关注本站!


小贴士:区块网收录了各大交易所,媒体,矿机,行情资讯等众多网址,如果需要可以点击下方链接,查看更多网址推荐 区块链网址导航

<<免责声明:本文仅代表作者本人观点,并不代表小牛币读之观点,本网站对作者观点不承担任何担保责任