Hotel- und Tourismus-Reservierungssystem - Authentifizierungsumgehung

Schwachstellendetails

Beschreibung

Eine kritische Schwachstelle zur Authentifizierungsumgehung existiert in der Admin-Login-Funktionalität des Hotel- und Tourismus-Reservierungssystems 1.0. Die Schwachstelle wird durch eine invertierte Bedingungsprüfung des Rückgabewerts von password_verify() verursacht, die dazu führt, dass die Anwendung den Zugriff gewährt, wenn ein falsches Passwort eingegeben wird, und den Zugriff verweigert, wenn das richtige Passwort eingegeben wird. Ein nicht authentifizierter entfernter Angreifer kann vollständigen Administratorzugriff erlangen, indem er eine gültige E-Mail-Adresse und ein beliebiges falsches Passwort angibt.

Grundursache

Datei: admin/login.php — Zeilen 39–46

if(password_verify($password, $user['password'])){
    // BUG: password_verify() returns TRUE when password is CORRECT
    // but the error message is placed here instead of login logic
    echo '<div class="w3-text-red text-center">The password you entered was incorrect, please try again.</div>';
} else {
    // BUG: this block executes when password is WRONG
    // but login is granted here instead of showing an error
    $userID = $user['id'];
    login($userID);
}

password_verify() gibt true zurück, wenn das angegebene Passwort mit dem Hash übereinstimmt. Der Entwickler hat die Erfolgslogik in den else-Zweig gesetzt (der ausgeführt wird, wenn die Funktion false zurückgibt), was bedeutet, dass die Authentifizierung bei jedem falschen Passwort gewährt wird.

Auswirkungen

Ein entfernter nicht authentifizierter Angreifer kann:

• Vollständigen administrativen Zugriff auf die Anwendung erlangen
• Alle Zimmer- und Tourenreservierungen anzeigen, ändern und löschen
• Zimmer, Touren und Veranstaltungen hinzufügen, bearbeiten oder entfernen
• Auf alle registrierten Benutzerdaten zugreifen
• Alle Admin-Operationen durchführen, ohne das Admin-Passwort zu kennen

Schritte zur Reproduktion

Einrichtung: Installieren Sie das Hotel- und Tourismus-Reservierungssystem 1.0 auf XAMPP. Greifen Sie über http://localhost/ht/ auf die App zu.

Schritt 1: Navigieren Sie zur Admin-Login-Seite.

http:///ht/admin/login.php

Schritt 2: Geben Sie eine gültige Admin-E-Mail mit einem beliebigen falschen Passwort ein.

E-Mail: [email protected] Passwort: wrongpassword

Schritt 3: Klicken Sie auf Login.

Ergebnis: Die Anwendung umgeht die Authentifizierung und leitet zum Admin-Dashboard (index.php) um – vollständiger Admin-Zugriff mit einem falschen Passwort gewährt.

Proof of Concept (Burp Suite)

Anfrage:

POST /ht/admin/login.php HTTP/1.1
Host: <target>
Content-Type: application/x-www-form-urlencoded

email=admin%40admin.com&password=test1234&login=Login

Antwort:

HTTP/1.1 302 Found
Location: index.php

Eine 302-Weiterleitung zu index.php bestätigt eine erfolgreiche Authentifizierung mit einem falschen Passwort.

Screenshots

1. Login-Seite — Falsches Passwort eingegeben

2. Burp Suite — 302-Weiterleitung bestätigt Umgehung

3. Quellcode — Invertierte Logik

Empfohlene Lösung

Vertauschen Sie die Bedingungszweige, sodass der Login gewährt wird, wenn password_verify() true zurückgibt:

// FIXED
if(password_verify($password, $user['password'])){
    $userID = $user['id'];
    login($userID);
} else {
    echo '<div class="w3-text-red text-center">The password you entered was incorrect, please try again.</div>';
}

Referenzen

• CWE-287: Improper Authentication
• Hotel and Tourism Reservation System — code-projects.org

Entdeckt von

Imad Alvi — Unabhängiger Sicherheitsforscher