台北捷運 WiFi 管理系統多個漏洞

Vulnerability Overview

ZDID: ZD-2017-00716
發信 Vendor: 臺北大眾捷運股份有限公司
Title: 台北捷運 WiFi 管理系統多個漏洞
Introduction: Directory Listing, Login Bypass, Directory Traversal, XSS 等多個漏洞

處理狀態

目前狀態

公開

Last Update : 2017/10/08

新提交
已審核
已通報
已修補
已複測
公開

處理歷程

2017/08/29 12:22:41 : 新提交 (由 Lays 更新此狀態)
2017/08/29 12:25:07 : 新提交 (由 Lays 更新此狀態)
2017/08/29 12:27:08 : 新提交 (由 Lays 更新此狀態)
2017/08/29 12:29:53 : 新提交 (由 Lays 更新此狀態)
2017/08/29 12:35:33 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2017/08/29 13:43:16 : 通報未回應 (由 HITCON ZeroDay 服務團隊更新此狀態)
2017/08/29 13:43:17 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2017/08/29 13:43:17 : 通報未回應 (由 HITCON ZeroDay 服務團隊更新此狀態)
2017/08/29 18:13:50 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2017/10/03 01:11:43 : 已修補 (由 HITCON ZeroDay 服務團隊更新此狀態)
2017/10/05 00:35:04 : 確認已修補 (由 HITCON ZeroDay 服務團隊更新此狀態)
2017/10/08 03:01:05 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2017-00716
通報者：Lays (Lays)
風險：高
類型：邏輯漏洞 (Logic Flaws)

參考資料

攻擊者可經由該漏洞繞過網站邏輯行為進行惡意攻擊。

漏洞說明： OWASP - Testing for business logic
https://www.owasp.org/index.php/Testing_for_business_logic

漏洞說明： CWE-840: Business Logic Errors
https://cwe.mitre.org/data/definitions/840.html

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

最近常常帶著沒關機的 macbook 搭捷運，回到家發現瀏覽器都是捷運 WiFi 的登入頁面
且在沒有連接捷運 WiFi 時，仍可存取 http://www.freeadwifi.com.tw/
因此做了些簡單測試，並發現多個 WiFi 系統漏洞

未關閉 Directory Listing
管理系統:
http://www.freeadwifi.com.tw/cms/

連線報表記錄:
http://www.freeadwifi.com.tw/runtime/
http://www.freeadwifi.com.tw/runtime/output/

管理介面驗證錯誤
存取 http://www.freeadwifi.com.tw/cms/edit.php 等頁面時
若未登入會透過 302 redirect 至登入介面
但同時還是會回傳頁面內容，攻擊者可直接繞過登入並存取管理系統:

管理介面弱密碼
可直接使用 adwifi / adwifi 登入管理介面
http://www.freeadwifi.com.tw/cms/login.php

Directory Traversal
http://www.freeadwifi.com.tw/runtime/output/look.php 存在漏洞，可列出任意目錄下之檔案
http://www.freeadwifi.com.tw/runtime/output/look.php?month=2017_07/../../../../../../../home/

另一個台機器上的 monitoring 系統 Directory Traversal
http://210.200.141.50/monitoring/look.php?forder=2017_01/../../../../../../home/&type=m

WiFi 登入介面反射型 XSS
未對參數 rid / ip 做過濾，導致 XSS
http://www.freeadwifi.com.tw?rid=123"><script>alert('xss')</script>
http://www.freeadwifi.com.tw?ip=123"><script>alert('xss')</script>

除台北捷運，全林實業負責的其他 WiFi 系統可能也有類似問題