cmseasy 最新版20140718 SQL注入一枚(无视360webscan)

2015年5月4日05:33:40评论382 views字数 238阅读0分47秒阅读模式

摘要

2014-07-22：细节已通知厂商并且等待厂商处理中
2014-07-22：厂商已经确认，细节仅向厂商公开
2014-07-25：细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2014-09-15：细节向核心白帽子及相关领域专家公开
2014-09-25：细节向普通白帽子公开
2014-10-05：细节向实习白帽子公开
2014-10-20：细节向公众公开

漏洞概要关注数(20) 关注此漏洞

缺陷编号： WooYun-2014-69343

漏洞标题： cmseasy 最新版20140718 SQL注入一枚(无视360webscan)

漏洞作者： phith0n

提交时间： 2014-07-22 20:57

公开时间： 2014-10-20 20:58

漏洞类型： SQL注射漏洞

危害等级：高

自评Rank： 20

漏洞状态：厂商已经确认

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签： php源码审核白盒测试

4人收藏

漏洞详情

披露状态：

简要描述：

20140718，无视360webscan，无需登录。

详细说明：

/lib/table/stats.php 13行getbot函数：

code 区域

public static function getbot() {
         $ServerName = $_SERVER["SERVER_NAME"];
         $ServerPort = $_SERVER["SERVER_PORT"];
         $ScriptName = $_SERVER["SCRIPT_NAME"];
         $QueryString = $_SERVER["QUERY_STRING"];
         $serverip = $_SERVER["REMOTE_ADDR"];
         $GetLocationURL=self::geturl();
         $agent1 = $_SERVER["HTTP_USER_AGENT"];
         $agent=strtolower($agent1);
         $Bot="";
         if(strpos($agent,"googlebot")>-1) {
             $Bot = "Google";
         }
         if(strpos($agent,"mediapartners-google")>-1) {
             $Bot = "Google Adsense";
         }
         if(strpos($agent,"baiduspider")>-1) {
             $Bot = "Baidu";
         }
         if(strpos($agent,"sogou")>-1) {
             $Bot = "Sogou";
         }
         if(strpos($agent,"yahoo")>-1) {
             $Bot = "Yahoo!";
         }
         if(strpos($agent,"msn")>-1) {
             $Bot = "MSN";
         }
         if(strpos($agent,"soso")>-1) {
             $Bot = "Soso";
         }
         if(strpos($agent,"iaarchiver")>-1) {
             $Bot = "Alexa";
         }
         if(strpos($agent,"sohu")>-1) {
             $Bot = "Sohu";
         }
         if(strpos($agent,"sqworm")>-1) {
             $Bot = "AOL";
         }
         if(strpos($agent,"yodaobot")>-1) {
             $Bot = "Yodao";
         }
         if(strpos($agent,"iaskspider")>-1) {
             $Bot = "Iask";
         }
         if(strlen($Bot)>0 &&!front::get('admin_dir')) {
             $stats = self::getInstance();
             $insert = $stats->rec_insert(array('bot'=>$Bot,'url'=>$GetLocationURL,'ip'=>$serverip,'time'=>date('Y-m-d H:i:s')));
         }
     }

其中判断了user-agent，如果是robot的话，就将其信息插入数据库。

我们看到，插入了这四项：

array('bot'=>$Bot,'url'=>$GetLocationURL,'ip'=>$serverip,'time'=>date('Y-m-d H:i:s'))

其中$GetLocationURL来自self::geturl()函数，看看这个函数：

code 区域

public static function geturl() {
         if(!empty($_SERVER["REQUEST_URI"])) {
             $scrtName = $_SERVER["REQUEST_URI"];
             $nowurl = $scrtName;
         }else {
             $scrtName = $_SERVER["PHP_SELF"];
             if(empty($_SERVER["QUERY_STRING"])) {
                 $nowurl = $scrtName;
             }else {
                 $nowurl = $scrtName."?".$_SERVER["QUERY_STRING"];
             }
         }
         return (isset($_SERVER["HTTPS"])&&$_SERVER["HTTPS"] == "on")?'https://':'http://'.$_SERVER['HTTP_HOST'].$nowurl;
     }

直接取的$_SERVER['PHP_SELF']和$_SERVER['QUERY_STRING']，而$_SERVER并没有转义，造成了注入。

因为360webscanz只检测了$_GET、$_POST等变量，所以这里的注入无视360webscan。

漏洞证明：

向index.php发送如下数据包注入即可：

首先得把user-agent设置成百度蜘蛛，然后注入部分放在url中即可。

记录下的执行的sql语句如下：

我似乎没有在前台找到输出点，所以只能盲注了。具体代码我就不给了,盲注代码如下：

code 区域

',(select/**/if((select/**/ord(substr(user(),1,1)))=114,sleep(3),0)),1)#

修复方案：

过滤

版权声明：转载请注明来源 phith0n@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2014-07-22 22:45

厂商回复：

感谢，立即修正

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):

登陆后才能进行评分

评价

2014-07-22 21:26 | wefgod ( 核心白帽子 | Rank:1829 漏洞数:183 | 力不从心)

0

都是大牛啊

1# 回复此人
2014-07-22 21:43 | ′ 雨。 ( 普通白帽子 | Rank:1332 漏洞数:198 | Only Code Never Lie To Me.)

0

唉给跪。

2# 回复此人
2014-07-22 21:43 | saline ( 普通白帽子 | Rank:304 漏洞数:38 | Focus On Web Secur1ty)

0

@wefgod 嗯，大家都叫他pp牛

3# 回复此人
2014-07-22 23:26 | Vigoss_Z ( 普通白帽子 | Rank:467 漏洞数:73 | 楞娃)

0

大牛带我飞

4# 回复此人
2014-07-23 07:57 | Sunshie ( 普通白帽子 | Rank:113 漏洞数:32 | http://phpinfo.meฏ๎๎๎๎๎๎๎๎๎๎...)

0

大神

5# 回复此人
2014-07-23 10:29 | f4ckbaidu ( 普通白帽子 | Rank:265 漏洞数:33 | 开发真是日了狗了)

0

膜拜P牛

6# 回复此人
2014-07-26 00:18 | Mosuan ( 普通白帽子 | Rank:449 漏洞数:175 | 尘封此号，不装逼了，再见孩子们。by Mosua...)

0

@f4ckbaidu 你有多恨百度？

7# 回复此人
2014-10-20 21:40 | 迦南 ( 路人 | Rank:14 漏洞数:11 | 我不是玩黑，我就是认真)

0

无视360.。。。。。。。。

8# 回复此人
2014-10-21 09:51 | error ( 普通白帽子 | Rank:442 漏洞数:99 | https://github.com/sigma-random)

0

还是没完全绕过

9# 回复此人
2014-10-21 13:02 | Ebon_Wolf ( 实习白帽子 | Rank:48 漏洞数:24 | 您好，我似咣咚朲，需要服务吗？专业酱油工...)

0

期待error 的作品

10# 回复此人
2014-10-21 13:09 | phith0n ( 普通白帽子 | Rank:834 漏洞数:127 | 一个想当文人的黑客~)

0

@error 无视是无视，绕过是绕过，否则得多加1k了~

11# 回复此人
2014-10-21 15:08 | error ( 普通白帽子 | Rank:442 漏洞数:99 | https://github.com/sigma-random)

0

@phith0n 赞，膜拜西电P牛

12# 回复此人

漏洞概要 关注数(20) 关注此漏洞

缺陷编号： WooYun-2014-69343

漏洞标题： cmseasy 最新版20140718 SQL注入一枚(无视360webscan)

相关厂商： cmseasy

漏洞作者： phith0n

提交时间： 2014-07-22 20:57

公开时间： 2014-10-20 20:58

漏洞类型： SQL注射漏洞

危害等级： 高

自评Rank： 20

漏洞状态： 厂商已经确认

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签： php源码审核 白盒测试

4人收藏

漏洞详情

披露状态：

简要描述：

详细说明：

漏洞证明：

修复方案：

版权声明：转载请注明来源 phith0n@乌云

漏洞回应

厂商回应：

厂商回复：

最新状态：

漏洞评价：

漏洞评价(共0人评价): 登陆后才能进行评分

评价

发表评论

在线咨询

微信

漏洞概要关注数(20) 关注此漏洞

危害等级：高

漏洞状态：厂商已经确认

Tags标签： php源码审核白盒测试

漏洞评价(共0人评价):

登陆后才能进行评分