### 简要描述： sql语句中的限定条件不足 ### 详细说明： 问题一： 任意收货地址删除，/protected/controllers/ucenter.php中 ``` public function address_del() { $id = Filter::int(Req::args("id")); $this->model->table("address")->where("id=$id")->delete();//where条件中没限定user_id $this->redirect("address"); } ``` 问题二： 任意订单信息查询，在/protected/controllers/simple.php中 ``` public function address_other(){ Session::set("order_status",Req::args()); $this->layout = ''; $id = Filter::int(Req::args("id")); if($id){ $model = new Model("address"); $data = $model->where("id = $id")->find();//同样没有对user_id进行限制 $this->redirect("address_other",false,$data); } else $this->redirect(); } ``` ### 漏洞证明： 问题一： poc： http://localhost/index.php?con=ucenter&act=address_del&id=3 后面id随便改，想删谁删谁 问题二： poc： http://localhost/index.php?con=simple&act=address_other&id=1 后面id对应地址号，可以遍历得到用户信息 [<img src="https://images.seebug.org/upload/201408/242109229b966a06573467eddc8efb7d39771881.png" alt="QQ截图20140824210618.png" width="600"...
### 简要描述： sql语句中的限定条件不足 ### 详细说明： 问题一： 任意收货地址删除，/protected/controllers/ucenter.php中 ``` public function address_del() { $id = Filter::int(Req::args("id")); $this->model->table("address")->where("id=$id")->delete();//where条件中没限定user_id $this->redirect("address"); } ``` 问题二： 任意订单信息查询，在/protected/controllers/simple.php中 ``` public function address_other(){ Session::set("order_status",Req::args()); $this->layout = ''; $id = Filter::int(Req::args("id")); if($id){ $model = new Model("address"); $data = $model->where("id = $id")->find();//同样没有对user_id进行限制 $this->redirect("address_other",false,$data); } else $this->redirect(); } ``` ### 漏洞证明： 问题一： poc： http://localhost/index.php?con=ucenter&act=address_del&id=3 后面id随便改，想删谁删谁 问题二： poc： http://localhost/index.php?con=simple&act=address_other&id=1 后面id对应地址号，可以遍历得到用户信息 [<img src="https://images.seebug.org/upload/201408/242109229b966a06573467eddc8efb7d39771881.png" alt="QQ截图20140824210618.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201408/242109229b966a06573467eddc8efb7d39771881.png) 这里的这条记录是系统带的，user_id=1，说明可以随便看
