当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(4) 关注此漏洞

缺陷编号： WooYun-2014-60907

漏洞标题： 74cms 逻辑漏洞导致sql注入2

相关厂商： 74cms.com

漏洞作者： menmen519

提交时间： 2014-05-19 17:11

公开时间： 2014-08-17 17:12

漏洞类型： SQL注射漏洞

危害等级： 高

自评Rank： 20

漏洞状态： 厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 help@wooyun.org

Tags标签： 安全意识不足 sql注射漏洞利用技巧 php源码分析 白盒测试 安全意识不足

0人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-05-19： 细节已通知厂商并且等待厂商处理中
2014-05-20： 厂商已经确认，细节仅向厂商公开
2014-05-23： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2014-07-14： 细节向核心白帽子及相关领域专家公开
2014-07-24： 细节向普通白帽子公开
2014-08-03： 细节向实习白帽子公开
2014-08-17： 细节向公众公开

简要描述：

74cms_v3.4.20140410逻辑漏洞导致sql注入

详细说明：

/include/fun_personal.php(346-373)

code 区域
$resume_work=get_resume_work($uid,$pid);


		$resume_training=get_resume_training($uid,$pid);


		$resume_photo=$resume_basic['photo_img'];


		if (!empty($resume_work))$percent=$percent+13;


		if (!empty($resume_training))$percent=$percent+13;


		if (!empty($resume_photo))$percent=$percent+14;


		$setsqlarr['complete']=1;


		$setsqlarr['complete_percent']=$percent;


		require_once(QISHI_ROOT_PATH.'include/splitword.class.php');


		$sp = new SPWord();


		


		$setsqlarr['key']=$resume_basic['intention_jobs'].$resume_basic['recentjobs'].$resume_basic['specialty'];		


		echo $setsqlarr['key']."<br>";


		$setsqlarr['key']="{$resume_basic['fullname']} ".$sp->extracttag($setsqlarr['key']);


		$setsqlarr['key']=str_replace(","," ",$resume_basic['intention_jobs'])." {$setsqlarr['key']} {$resume_basic['education_cn']}";


		$setsqlarr['key']=$sp->pad($setsqlarr['key']);


		


		if (!empty($resume_education))


		{


			foreach($resume_education as $li)


			{


			$setsqlarr['key']="{$li['school']} {$setsqlarr['key']} {$li['speciality']}";


			}


		}


		$setsqlarr['refreshtime']=$timestamp;


	}


	


	updatetable(table('resume'),$setsqlarr,"uid='{$uid}' AND id='{$pid}'");



当执行到$resume_work=get_resume_work($uid,$pid); 然后执行到$setsqlarr['key']=$sp->pad($setsqlarr['key']);对此之前存入数据库的数据原封不动的获取出来，当数据流向updatetable(table('resume'),$setsqlarr,"uid='{$uid}' AND id='{$pid}'");故而触发sql注入漏洞



具体发送请求如图所示：

6.png





根据此逻辑过程，完全就变成一个最为普通的sql注入了，所以读者可以想干什么，就干什么



漏洞证明：

修复方案：

在get_resume_work这个函数返回时候做转义

或者在$sp->pad函数返回时候做转义即可

版权声明：转载请注明来源 menmen519@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2014-05-20 15:53

厂商回复：

ok

最新状态：

暂无

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):
登陆后才能进行评分

评价

  1. 2014-05-19 17:14 | 从容 ( 普通白帽子 | Rank:359 漏洞数:94 | Enjoy Hacking Just Because It's Fun | ...)
    0

    两个洞的名字一样，是不是重复了？

    1# 回复此人
  2. 2014-05-19 17:16 | Finger 认证白帽子 ( 普通白帽子 | Rank:777 漏洞数:95 | 最近有人冒充该账号行骗，任何自称Finger并...)
    0

    @从容 不是

    2# 回复此人
  3. 2014-05-19 17:19 | 寂寞的瘦子 ( 普通白帽子 | Rank:242 漏洞数:53 | ☯☯☯☯☯☯☯☯☯☯)
    0

    有点意思来一发

    3# 回复此人
  4. 2014-05-19 17:23 | 从容 ( 普通白帽子 | Rank:359 漏洞数:94 | Enjoy Hacking Just Because It's Fun | ...)
    0

    @Finger - -.

    4# 回复此人
  5. 2014-05-19 20:14 | menmen519 ( 普通白帽子 | Rank:914 漏洞数:161 | http://menmen519.blog.sohu.com/)
    0

    @从容 当然不一样了，我给最土团购 发了一个打包的sql注入，居然被忽略，想不通

    5# 回复此人
  6. 2014-05-19 20:16 | 从容 ( 普通白帽子 | Rank:359 漏洞数:94 | Enjoy Hacking Just Because It's Fun | ...)
    0

    @menmen519 正常，提交漏洞你得挑厂商- -.

    6# 回复此人

登录后才能发表评论，请先 登录 。