最土团购注入一枚可直接提升自己为管理 & 无限刷钱
在order/chinabank/notify.php中<pre><code>$key = $INI['chinabank']['sec'];
$v_oid = trim($_POST['v_oid']);// 商户发送的v_oid定单编号
$v_pmode = trim($_POST['v_pmode']); // 支付方式（字符串）
$v_pstatus = trim($_POST['v_pstatus']); //支付状态 ：20 成功,30 失败
$v_pstring = trim($_POST['v_pstring']); // 支付结果信息
$v_amount= trim($_POST['v_amount']); // 订单实际支付金额
$v_moneytype = trim($_POST['v_moneytype']); //订单实际支付币种
$remark1 = trim($_POST['remark1' ]); //备注字段1
$remark2 = trim($_POST['remark2' ]); //备注字段2
$v_md5str= trim($_POST['v_md5str' ]); //拼凑后的MD5校验值
/* 重新计算md5的值 */
$text = "{$v_oid}{$v_pstatus}{$v_amount}{$v_moneytype}{$key}";
$md5string = strtoupper(md5($text));
/* 判断返回信息，如果支付成功，并且支付结果可信，则做进一步的处理 */
if ($v_md5str == $md5string) {
list($_, $order_id, $city_id, $_) = explode('-', $v_oid, 4);
if($v_pstatus=="20") {
/* charge */
if ( $_ == 'charge' ) {
@list($_, $user_id, $create_time, $_) = explode('-', $v_oid, 4);
ZFlow::CreateFromCharge($v_amount, $user_id, $create_time, 'chinabank');
die('ok');
}</code></pre>
key是空的 不用管他。 只是一点点的验证。 MD5相等可好, 然后把v_oid用来切割。
然后带入CreateFromCharge
<pre><code>static public function CreateFromCharge($money,$user_id,$time,$service='alipay',$trade_no=''){
global $option_service;
if (!$money || !$user_id || !$time) return 0;
$pay_id = "charge-{$user_id}-{$time}";
$pay = Table::Fetch('pay', $pay_id);
if ( $pay ) return 0;
$order_id = ZOrder::CreateFromCharge($money,$user_id,$time,$service);
if (!$order_id) return 0;
//insert pay record
$pay = array(
'id' => $pay_id,
'vid' => $trade_no,
'order_id' => $order_id,
'bank' => $option_service[$service],
'currency' => 'CNY',
'money' => $money,
'service' => $service,
'create_time' => $time,
);
DB::Insert('pay', $pay);
ZCredit::Charge($user_id, $money);
//end//
//update user money;
$user = Table::Fetch('user', $user_id);
Table::UpdateCache('user', $user_id, array(
'money' => array( "money + {$money}" ),
));
$u = array(
'user_id' => $user_id,
'admin_id' => 0,
'money' => $money,
'direction' => 'income',
'action' => 'charge',
'detail_id' => $pay_id,
'create_time' => $time,
);
return DB::Insert('flow', $u);
}</code></pre>
这里有一个insert 语句 和一个update语句。
insert 里面的都被单引号了。 而且如果我们提交单引号的话还会被转义。
<pre><code>Table::UpdateCache('user', $user_id, array(
'money' => array( "money + {$money}" ),
));</code></pre>
看这个update $money是没有单引号的。
然后带入查询 首先构造一下语句。
由于 管理和用户都是在user表里 是通过manager这个column 用来判断是否为管理员。
我们给我们自己的用户的manager update成y 即可成为管理员。
UPDATE `user` SET `money`=money + asd WHERE `id`='88'
执行的语句如此。 我们构造一下语句。
猥琐的坐了沙发 猥琐的跟着蓝色坐板凳 不错 感谢公开
Re: 最土团购注入一枚可直接提升自己为管理 & 无限刷钱
这是一个非常危险的漏洞，感谢分享。如果MD5密钥为空，实际上等于没有验证签名，攻击者完全可以伪造任意金额和用户ID的参数直接充值。更可怕的是，如果配合其他功能，甚至可能利用用户ID参数溢出或越权来提升权限。建议所有使用最土团购系统的站长立即检查并修复，至少确保`$key`有强密码，并且对回调参数做更严格的校验（比如验证订单是否存在、金额是否匹配等）。这个注入点几乎相当于直接给了攻击者后台权限。Re: 最土团购注入一枚可直接提升自己为管理 & 无限刷钱
谢谢分享这个漏洞信息。看起来是 `notify.php` 中支付回调验证不严谨，key 为空导致 MD5 校验形同虚设，攻击者可以构造任意 `v_oid` 来操控 `user_id` 和充值金额，实现刷钱甚至提权。这个影响面挺大的，建议使用最土团购的站长尽快检查并修复支付回调逻辑，比如强制使用非空密钥、增加订单唯一性验证或限制回调来源 IP。Re: 最土团购注入一枚可直接提升自己为管理 & 无限刷钱
感谢分享这个漏洞细节。从代码看，确实存在严重问题：key为空导致MD5校验形同虚设，攻击者可以构造任意v_oid参数注入，并通过CreateFromCharge直接给任意user_id加钱。标题提到的“提升为管理”可能涉及其他接口，但仅刷钱这部分就已经能造成巨大损失。建议开发者尽快检查该文件，严格校验签名和用户权限，并对支付回调做更完善的过滤和权限控制。
页:
[1]