当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(51) 关注此漏洞

缺陷编号： WooYun-2014-52019

漏洞标题： phpcmsV9某sql注射漏洞

相关厂商： phpcms

漏洞作者： kobin97认证白帽子

提交时间： 2014-02-25 22:24

公开时间： 2014-05-23 22:25

漏洞类型： SQL注射漏洞

危害等级： 中

自评Rank： 10

漏洞状态： 漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 help@wooyun.org

Tags标签： php+字符类型注射 注射技巧

5人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-02-25： 细节已通知厂商并且等待厂商处理中
2014-03-07： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2014-05-01： 细节向核心白帽子及相关领域专家公开
2014-05-11： 细节向普通白帽子公开
2014-05-21： 细节向实习白帽子公开
2014-05-23： 细节向公众公开

简要描述：

别人说最危险的地方最安全，我说最安全的地方最危险。。。
相信你们也没有想到这个最常见，常常会在各种教程出现的地方会存在SQL注射。。。
需 GPC OFF

详细说明：

首先，我们看登陆的地方。。最常见了吧。。。

**.**.**.**/index.php?m=member&c=index&a=login



默认安装情况下，会使有 V9自带的用户中心。



phpcms\modules\member\index.php

code 区域
public function login() {


		$this->_session_start();


		//获取用户siteid


		$siteid = isset($_REQUEST['siteid']) && trim($_REQUEST['siteid']) ? intval($_REQUEST['siteid']) : 1;


		//定义站点id常量


		if (!defined('SITEID')) {


		   define('SITEID', $siteid);


		}


		


		if(isset($_POST['dosubmit'])) {


			if(empty($_SESSION['connectid'])) {


				//判断验证码


				$code = isset($_POST['code']) && trim($_POST['code']) ? trim($_POST['code']) : showmessage(L('input_code'), HTTP_REFERER);


				if ($_SESSION['code'] != strtolower($code)) {


					showmessage(L('code_error'), HTTP_REFERER);


				}


			}


			


			$username = isset($_POST['username']) && trim($_POST['username']) ? trim($_POST['username']) : showmessage(L('username_empty'), HTTP_REFERER);


			$password = isset($_POST['password']) && trim($_POST['password']) ? trim($_POST['password']) : showmessage(L('password_empty'), HTTP_REFERER);


			$cookietime = intval($_POST['cookietime']);


			$synloginstr = ''; //同步登陆js代码


			


			if(pc_base::load_config('system', 'phpsso')) {


				$this->_init_phpsso();


				$status = $this->client->ps_member_login($username, $password);


				$memberinfo = unserialize($status);





可以看到用户名密码交给了

$this->client->ps_member_login($username, $password);



我们跟进。

phpcms\modules\member\classes\client.class.php



$return = $this->_ps_send('login', array('username'=>$username, 'password'=>$password));



code 区域
private function _ps_send($action, $data = null) {


 		return $this->_ps_post($this->ps_api_url."/index.php?m=phpsso&c=index&a=".$action, 500000, $this->auth_data($data));


	}





code 区域
public function auth_data($data) {


		$s = $sep = '';


		foreach($data as $k => $v) {


			if(is_array($v)) {


				$s2 = $sep2 = '';


				foreach($v as $k2 => $v2) {


						$s2 .= "$sep2{$k}[$k2]=".$this->_ps_stripslashes($v2);


					$sep2 = '&';


				}


				$s .= $sep.$s2;


			} else {


				$s .= "$sep$k=".$this->_ps_stripslashes($v);


			}


			$sep = '&';


		}





		$auth_s = 'v='.$this->ps_vsersion.'&appid='.APPID.'&data='.urlencode($this->sys_auth($s));


		return $auth_s;


	}





_ps_stripslashes

code 区域
private function _ps_stripslashes($string) {


		!defined('MAGIC_QUOTES_GPC') && define('MAGIC_QUOTES_GPC', get_magic_quotes_gpc());


		if(MAGIC_QUOTES_GPC) {


			return stripslashes($string);


		} else {


			return $string;


		}


	}





还原了 GPC，传参数给 API。

我们再看看 API 方的处理方式



phpsso_server\phpcms\modules\phpsso\classes\phpsso.class.php

code 区域
if(isset($_POST['data'])) {


			parse_str(sys_auth($_POST['data'], 'DECODE', $this->applist[$this->appid]['authkey']), $this->data);


					


			if(!is_array($this->data)) {


				exit('0');


			}


		} else {


			exit('0');


		}





parse_str 函数默认是根据 GPC情况过滤。



再到



phpsso_server\phpcms\modules\phpsso\index.php



code 区域
public function login() {


		$this->password = isset($this->data['password']) ? $this->data['password'] : '';


		$this->email = isset($this->data['email']) ? $this->data['email'] : '';


		if($this->email) {


			$userinfo = $this->db->get_one(array('email'=>$this->email));


		} else {


			$userinfo = $this->db->get_one(array('username'=>$this->username));


		}





phpsso_server\phpcms\libs\classes\model.class.php

code 区域
final public function get_one($where = '', $data = '*', $order = '', $group = '') {


		if (is_array($where)) $where = $this->sqls($where);


		return $this->db->get_one($data, $this->table_name, $where, $order, $group);


	}





code 区域
/**


	 * 将数组转换为SQL语句


	 * @param array $where 要生成的数组


	 * @param string $font 连接串。


	 */


	final public function sqls($where, $font = ' AND ') {


		if (is_array($where)) {


			$sql = '';


			foreach ($where as $key=>$val) {


				$sql .= $sql ? " $font `$key` = '$val' " : " `$key` = '$val'";


			}


			return $sql;


		} else {


			return $where;


		}


	}





可以看到全程没有对字符串进行过滤。。。

因此，在GPC为 OFF 时，存在SQL注入。

可能没说清楚问题在那里

两个：

1、auth_data 参数拼接

2、api中没有对数据进行过滤



可以做什么？盲注，任意用户登陆。。。其实还有很多利用的地方。。

测试如下：

漏洞证明：

1.jpg







2.jpg





3.jpg

修复方案：

过滤

版权声明：转载请注明来源 kobin97@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-05-23 22:25

厂商回复：

最新状态：

暂无

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):
登陆后才能进行评分

评价

  1. 2014-02-25 22:29 | 爱上平顶山 认证白帽子 ( 核心白帽子 | Rank:3097 漏洞数:614 | [不戴帽子]异乡过客.曾就职于天朝某机构.IT...)
    0

    000000000000000

    1# 回复此人
  2. 2014-02-25 22:32 | U神 ( 核心白帽子 | Rank:1360 漏洞数:150 | 乌云核心菜鸟，联盟托管此号中，欢迎加入08...)
    0

    11111111111111

    2# 回复此人
  3. 2014-02-25 22:50 | MeirLin ( 实习白帽子 | Rank:96 漏洞数:30 | 号借人)
    0

    2222222222222222222

    3# 回复此人
  4. 2014-02-25 22:55 | 乌云一哥 ( 路人 | Rank:7 漏洞数:1 | echo file_get_contents('http://www.wooyu...)
    0

    3333333333333333

    4# 回复此人
  5. 2014-02-25 23:12 | wefgod ( 核心白帽子 | Rank:1825 漏洞数:183 | 力不从心)
    0

    444444444444444444我们应该叫四爷？

    5# 回复此人
  6. 2014-02-25 23:26 | kimdle ( 路人 | Rank:0 漏洞数:1 | @kimdle)
    0

    555555555555555

    6# 回复此人
  7. 2014-02-25 23:32 | My5t3ry ( 实习白帽子 | Rank:35 漏洞数:14 )
    0

    6666666666这是什么节奏啊

    7# 回复此人
  8. 2014-02-25 23:33 | 鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:42 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)
    0

    7777777777777

    8# 回复此人
  9. 2014-02-26 07:41 | 银狼_avi ( 实习白帽子 | Rank:55 漏洞数:13 | 本屌十二岁破处)
    0

    8888888888888888

    9# 回复此人
  10. 2014-02-26 08:34 | 围剿 ( 路人 | Rank:17 漏洞数:5 | Evil decimal)
    0

    9999999999999999999999

    10# 回复此人
  11. 2014-02-26 09:35 | niliu 认证白帽子 ( 核心白帽子 | Rank:1719 漏洞数:226 | 逆流而上)
    0

    1010101010101010101010101010101010这什么情况？

    11# 回复此人
  12. 2014-02-26 09:44 | 宇少 ( 普通白帽子 | Rank:106 漏洞数:41 | Jyhack-TeaM：bbs.jyhack.com 群:308694453...)
    0

    靠，你又来。

    12# 回复此人
  13. 2014-02-26 10:35 | Walle ( 路人 | Rank:0 漏洞数:5 | ... 位卑、未敢忘忧国！ ...)
    0

    11111111111111111111111111111111111111111

    13# 回复此人
  14. 2014-03-11 18:14 | 黑色键盘 ( 路人 | Rank:0 漏洞数:2 | 黑色键盘，指间的灵感。)
    0

    怎么个略过的节奏

    14# 回复此人
  15. 2014-03-17 10:00 | kobin97 认证白帽子 ( 核心白帽子 | Rank:1833 漏洞数:201 | 关注网络安全。。)
    2

    phpcms.cn 官网好像打不好了。。。

    15# 回复此人

登录后才能发表评论，请先 登录 。