当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(9) 关注此漏洞

缺陷编号： WooYun-2014-51905

漏洞标题： ThinkSAAS SQL注入漏洞打包6-10

相关厂商： thinksaas.cn

漏洞作者： xfkxfk认证白帽子

提交时间： 2014-02-24 17:59

公开时间： 2014-05-25 17:59

漏洞类型： SQL注射漏洞

危害等级： 高

自评Rank： 20

漏洞状态： 厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 help@wooyun.org

Tags标签： 第三方不可信程序 安全意识不足 php源码审核 sql注射漏洞利用技巧 php源码分析 白盒测试

0人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-02-24： 细节已通知厂商并且等待厂商处理中
2014-02-24： 厂商已经确认，细节仅向厂商公开
2014-02-27： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2014-04-20： 细节向核心白帽子及相关领域专家公开
2014-04-30： 细节向普通白帽子公开
2014-05-10： 细节向实习白帽子公开
2014-05-25： 细节向公众公开

简要描述：

详细说明：

上个注入大礼包，终于走了一个大厂商！

看来还是打包来的划算，最后一个注入大礼包了。

这个漏洞完了，回给出修复方案，求给力！



第一处SQL注入

/app/group/action/add.php

code 区域
// 执行发布帖子


        case "do" :


                


                if ($_POST ['token'] != $_SESSION ['token']) {


                        tsNotice ( '非法操作！' );


                }


                


                $authcode = strtolower ( $_POST ['authcode'] );


                


                if ($TS_SITE ['base'] ['isauthcode']) {


                        if ($authcode != $_SESSION ['verify']) {


                                tsNotice ( "验证码输入有误，请重新输入！" );


                        }


                }


                


                $groupid = intval ( $_POST ['groupid'] );


                $title = tsClean ( $_POST ['title'] );


                $content = tsClean ( $_POST ['content'] );


                $typeid = intval ( $_POST ['typeid'] );


                $tag = tsClean ( $_POST ['tag'] );


......


// 处理@用户名


                if (preg_match_all ( '/@/', $content, $at )) {


                        preg_match_all ( "/@(.+?)([\s|:]|$)/is", $content, $matches );


                        


                        $unames = $matches [1];


                        


                        $ns = "'" . implode ( "','", $unames ) . "'";


                        


                        $csql = "username IN($ns)";


                        


                        if ($unames) {


                                


                                $query = $db->fetch_all_assoc ( "select userid,username from " . dbprefix . "user_info where $csql" );



这里在进行发帖时，内容可以@别人，但是在匹配@内容时，content内容由函数tsClean()过滤，同样没有到的过滤SQL的功能。没有任何处理，进行了sql查询语句，导致SQL注入。



第二处SQL注入

/app/group/action/add.php

code 区域
// 处理@用户名


                if (preg_match_all ( '/@/', $content, $at )) {


                        preg_match_all ( "/@(.+?)([\s|:]|$)/is", $content, $matches );


                        


                        $unames = $matches [1];


                        


                        $ns = "'" . implode ( "','", $unames ) . "'";


                        


                        $csql = "username IN($ns)";


                        


                        if ($unames) {


                                


                                $query = $db->fetch_all_assoc ( "select userid,username from " . dbprefix . "user_info where $csql" );


                                


                                foreach ( $query as $v ) {


                                        $content = str_replace ( '@' . $v ['username'] . '', '[@' . $v ['username'] . ':' . $v ['userid'] . ']', $content );


                                        $msg_content = '我在帖子中提到了你<br />去看看：' . tsUrl ( 'group', 'topic', array (


                                                        'id' => $topicid 


                                        ) );


                                        aac ( 'message' )->sendmsg ( $userid, $v ['userid'], $msg_content );


                                }


                                $new ['group']->update ( 'group_topic', array (


                                                'topicid' => $topicid 


                                ), array (


                                                'content' => $content 


                                ) );


                        }



也是在第一处SQL注入的下面，进行了update操作，同样content没有过滤进入update的row参数，没过滤导致注入。

如图证明：

1.png





第三处SQL注入

/app/group/action/after.php

code 区域
//执行补贴


        case "ado":


        


                if($_POST['token'] != $_SESSION['token']) {


                        tsNotice('非法操作！');


                }


                


                $topicid = intval($_POST['topicid']);


                $content = tsClean($_POST['content']);


                $title = tsClean($_POST['title']);


......


//上传附件开始


                $attUpload = tsUpload($_FILES['attfile'],$afterid,'after',array('zip','rar','doc','txt','pdf','ppt','docx','xls','xlsx'));


                if($attUpload){





                        $new['group']->update('group_topic_add',array(


                                'id'=>$afterid,


                        ),array(


                                'path'=>$attUpload['path'],


                                'attach'=>$attUpload['url'],


                                'attachname'=>$attUpload['name'],


                        ));


                }


                //上传附件结束



执行补贴时，上传附件时，对上传文件的名字那么没有过滤，导致SQL注入。



第四+五处SQL注入

/app/group/action/after.php

code 区域
//编辑执行


        case "edo":


        


                if($_POST['token'] != $_SESSION['token']) {


                        tsNotice('非法操作！');


                }


        


                $afterid = intval($_POST['afterid']);


                


                $strAfter = $new['group']->find('group_topic_add',array(


                        'id'=>$afterid,


                ));


                


                if($strAfter['userid'] == $userid || $TS_USER['user']['isadmin']==1){


                


                        $content = tsClean($_POST['content']);


                        $title = tsClean($_POST['title']);


                        


                        //过滤内容开始


                        aac('system')->antiWord($title);


                        aac('system')->antiWord($content);


                        //过滤内容结束


                        


                        $new['group']->update('group_topic_add',array(


                                'id'=>$afterid,


                        ),array(


                                'title'=>$title,


                                'content'=>$content,


                                'uptime'=>time(),


                        ));


......


//上传附件开始


                        $attUpload = tsUpload($_FILES['attfile'],$afterid,'after',array('zip','rar','doc','txt','pdf','ppt','docx','xls','xlsx'));


                        if($attUpload){





                                $new['group']->update('group_topic_add',array(


                                        'id'=>$afterid,


                                ),array(


                                        'path'=>$attUpload['path'],


                                        'attach'=>$attUpload['url'],


                                        'attachname'=>$attUpload['name'],


                                ));



这里存在两处，一处是编辑发布的补贴内容时，title和content都没有过滤，导致SQL注入。

还有一处就是编辑补贴时上传附件，附件的名字那么未过滤，导致SQL注入。

证明如图：

2.png

漏洞证明：

见详细说明

修复方案：

说一下具体的修复吧：

此应用之前2.0.1没有全局过滤，导致大面积SQL注入。

2月15更新了2.1.

但是在2.1里面虽然加了全局过滤gpc，但是在部分地方使用了tsClean函数，

而tsClean又有stripslashes，所以导致又免过滤了，造成SQL注入。

还有就是在update时，值处理了where那里，在row和key那里都没有处理。

加上上面注意的两点，全局过滤+SQL入口处理，既可以修复大部分问题了。

至于细节，你们都懂，官方看着修复吧。

版权声明：转载请注明来源 xfkxfk@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2014-02-24 18:12

厂商回复：

再次感谢xfkxfk对thinksaas的关注。
非常感谢提供详细的修复方案，update问题已修复！

最新状态：

暂无

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):
登陆后才能进行评分

评价

  1. 2014-02-24 18:13 | ThinkSAAS(乌云厂商)
    0

    请问xfkxfk能否提供详细的修复方案，谢谢！已私信

    1# 回复此人
  2. 2014-02-24 18:57 | 寂寞的瘦子 ( 普通白帽子 | Rank:242 漏洞数:52 | ☯☯☯☯☯☯☯☯☯☯)
    0

    你关注的白帽子 @xfkxfk 发表了漏洞 Discuz! X3.1最新版储存型XSS?

    2# 回复此人
  3. 2014-02-24 20:28 | xfkxfk 认证白帽子 ( 核心白帽子 | Rank:2299 漏洞数:341 | 呵呵！)
    0

    @寂寞的瘦子 据说是重复了，最新版同意存在

    3# 回复此人
  4. 2014-02-25 00:30 | Luverose ( 路人 | Rank:12 漏洞数:2 | 我才不是小号)
    0

    赞

    4# 回复此人
  5. 2014-02-25 09:56 | lpcdma ( 路人 | Rank:12 漏洞数:6 | 人类)
    0

    @xfkxfk 求细节。

    5# 回复此人
  6. 2014-05-25 19:15 | ddy ( 实习白帽子 | Rank:45 漏洞数:12 | 其实第一次要我挖洞我是拒绝的。因为，你不...)
    0

    帮忙看看记事狗的，我在用，。。。

    6# 回复此人
  7. 2014-05-25 23:38 | 忆苦思甜 ( 实习白帽子 | Rank:65 漏洞数:25 )
    0

    审计牛 求审计思路

    7# 回复此人

登录后才能发表评论，请先 登录 。