【严重】禅道 16.5 SQL注入漏洞复现原理

该漏洞为我团队漏洞监测平台发现，请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。

禅道由青岛易软天创网络科技有限公司开发，国产开源项目管理软件。它集产品管理、项目管理、质量管理、文档管理、组织管理和事务管理于一体，是一款专业的研发项目管理软件，完整覆盖了研发项目管理的核心流程。

禅道 16.5 router.class.php 文件存在SQL注入漏洞，攻击者通过漏洞可以获取数据库敏感信息，危害服务器安全。

禅道系统的功能列表

1.产品管理：包括产品、需求、计划、发布、路线图等功能。

2. 质量管理：包括bug、测试用例、测试任务、测试结果等功能。

3. 文档管理：包括产品文档库、项目文档库、自定义文档库等功能。

4. 事务管理：包括todo管理，我的任务、我的Bug、我的需求、我的项目等个人事务管理功能。

5. 组织管理：包括部门、用户、分组、权限等功能。

6. 统计功能：丰富的统计表。

7. 搜索功能：强大的搜索，帮助您找到相应的数据。

8. 扩展机制，几乎可以对禅道的任何地方进行扩展。

9. api机制，所见皆API，方便与其他系统集成。

禅道 16.5

通过源码可知16.5 到 16.5.1 版本更了 framework/base/router.class.php 文件。

account参数使用了quote方法进行过滤SQL语句。

可以看到这个方法主要是对字段加转义，所以可以推断 16.5 版本中存在SQL注入, 跟踪调试测试SQL注入。

验证POC如下, 其中同样存在堆叠注入，通过SQL语句可修改管理员密码等。
POST /user-login.htmlaccount=admin%27+and+%28select+extractvalue%281%2Cconcat%280x7e%2C%28select+user%28%29%29%2C0x7e%29%29%29%23