内容简介:一、背景介绍VMCPlus为上海辰商软件旗下为大中型企业提供专业电商系统方案,支持更个性化的集成及部署,产品已被多家知名企业认可并应用,覆盖了企业线上零售\批发等多种先进的互联网商务场景。1.1 漏洞描述
一、背景介绍
VMCPlus为上海辰商软件旗下为大中型企业提供专业电商系统方案,支持更个性化的集成及部署,产品已被多家知名企业认可并应用,覆盖了企业线上零售\批发等多种先进的互联网商务场景。
1.1 漏洞描述
Vmcplus商城平台系统购物车处存在csrf漏洞,可诱导用户点击,在用户不知情的情况下将商品添加进用户购物车
1.2 受影响的系统版本
Vmcplus商城平台系统全版本
二、环境搭建
由于网站源码未公开,环境为线上使用Vmcplus商城平台系统的在线电商网站。
三、漏洞分析
在添加购物车的过程中,网站并没有对用户 referer 进行校验,也没有设定会话 token ,从而导致了 csrf
四、漏洞利用
添加购物车处 csrf
首先登陆 domain1 商城 www.doamin1.com ,找到任意一款商品并点击添加购物车
此时抓包发现添加购物车的链接为: http://www.domain1.cn/cart-add-52859-1.html
通过分析, cart-add-52859-1 , 52859 为商品编号, 1 为添加购物车的数量。
此时我们构造 csrf 的 poc 并保存为 html 文件,并通过用户登陆的相同浏览器打开,模拟用户访问,如下:
此时我们再访问购物车可以看到商品已经成功添加进购物车内:
五、总结
通过测试发现,众多国内知名企业均使用该套 cms ,所有使用 Vmcplus商城平台系统的网站的添加购物车功能均存在csrf漏洞。故此,判断该cms存在通用型csrf漏洞。
以上所述就是小编给大家介绍的《天融信关于vmcplus电商平台系统购物车处csrf漏洞分析》,希望对大家有所帮助,如果大家有任何疑问请给我留言,小编会及时回复大家的。在此也非常感谢大家对 码农网 的支持!
猜你喜欢:本站部分资源来源于网络,本站转载出于传递更多信息之目的,版权归原作者或者来源机构所有,如转载稿涉及版权问题,请联系我们。
HTML网页设计参考手册
张金霞 / 清华大学 / 2006-9 / 39.00元
本书由最基本的HTML语法开始讲解网页设计的基础技术,详细介绍了各种网页制作的标记;然后介绍如何运用CSS控制网页画面中文字与图片的样式;接下来讲解了JavaScript语言与网页特效的制作;最后以应用最广泛的Drcamweaver为例,介绍网页设计的方法。在讲解中配有大量范例,使读者在实际操作中学习制作网页。 HTML语言是制作网页的基础语言。作为一个网页制作爱好者或者专业的网......一起来看看 《HTML网页设计参考手册》 这本书的介绍吧!