当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-046469

漏洞标题：Thinksaas SQL注入#2

相关厂商：thinksaas.cn

漏洞作者： xfkxfk

提交时间：2013-12-19 16:38

修复时间：2014-03-19 16:39

公开时间：2014-03-19 16:39

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-12-19： 细节已通知厂商并且等待厂商处理中
2013-12-20： 厂商已经确认，细节仅向厂商公开
2013-12-23： 细节向第三方安全合作伙伴开放
2014-02-13： 细节向核心白帽子及相关领域专家公开
2014-02-23： 细节向普通白帽子公开
2014-03-05： 细节向实习白帽子公开
2014-03-19： 细节向公众公开

简要描述：

Thinksaas SQL注入#2

详细说明：

Thinksaas 最新版在小组发表帖子时，帖子内容中可以@其他用户，这里在处理@的用户时，只在前台过滤，未在后台过滤，而且没有通过sql安全检查，直接拼接到sql语句中，导致sql注入。还有一处是在编辑补贴内容处，title和content都么过滤
来看看发帖的地方，参数的传递：

// 执行发布帖子
	case "do" :
		
		if ($_POST ['token'] != $_SESSION ['token']) {
			tsNotice ( '非法操作！' );
		}
		
		$authcode = strtolower ( $_POST ['authcode'] );
		
		if ($TS_SITE ['base'] ['isauthcode']) {
			if ($authcode != $_SESSION ['verify']) {
				tsNotice ( "验证码输入有误，请重新输入！" );
			}
		}
		
		$groupid = intval ( $_POST ['groupid'] );
		$title = tsClean ( $_POST ['title'] );
		$content = tsClean ( $_POST ['content'] );
		$typeid = intval ( $_POST ['typeid'] );
		$tag = tsClean ( $_POST ['tag'] );


跟进tdClean函数：

function cleanJs($text) {
	$text = trim ( $text );
	$text = stripslashes ( $text );
	// 完全过滤注释
	$text = preg_replace ( '/<!--?.*-->/', '', $text );
	// 完全过滤动态代码
	$text = preg_replace ( '/<\?|\?>/', '', $text );
	// 完全过滤js
	$text = preg_replace ( '/<script?.*\/script>/', '', $text );
	// 过滤多余html
	$text = preg_replace ( '/<\/?(html|head|meta|link|base|body|title|style|script|form|iframe|frame|frameset)[^><]*>/i', '', $text );
	// 过滤on事件lang js
	while ( preg_match ( '/(<[^><]+)(lang|onfinish|onmouse|onexit|onerror|onclick|onkey|onload|onchange|onfocus|onblur)[^><]+/i', $text, $mat ) ) {
		$text = str_replace ( $mat [0], $mat [1], $text );
	}
	while ( preg_match ( '/(<[^><]+)(window\.|javascript:|js:|about:|file:|document\.|vbs:|cookie)([^><]*)/i', $text, $mat ) ) {
		$text = str_replace ( $mat [0], $mat [1] . $mat [3], $text );
	}
	return $text;
}
/**
 * 输入安全过滤
 * @param unknown $text
 * @return mixed
 */
function tsClean($text) {
	$text = cleanJs ( $text );
	return $text;
}


只是将content内容对js相关内容进行了过滤。
再来看看处理@用户时的操作：

// 处理@用户名
		if (preg_match_all ( '/@/', $content, $at )) {
			preg_match_all ( "/@(.+?)([\s|:]|$)/is", $content, $matches );
			
			$unames = $matches [1];
			
			$ns = "'" . implode ( "','", $unames ) . "'";
			
			$csql = "username IN($ns)";
			
			if ($unames) {
				
				$query = $db->fetch_all_assoc ( "select userid,username from " . dbprefix . "user_info where $csql" );//注入点在这里
				
				foreach ( $query as $v ) {
					$content = str_replace ( '@' . $v ['username'] . '', '[@' . $v ['username'] . ':' . $v ['userid'] . ']', $content );
					$msg_content = '我在帖子中提到了你<br />去看看：' . tsUrl ( 'group', 'topic', array (
							'id' => $topicid 
					) );
					aac ( 'message' )->sendmsg ( $userid, $v ['userid'], $msg_content );
				}
				$new ['group']->update ( 'group_topic', array (
						'topicid' => $topicid 
				), array (
						'content' => $content 
				) );
			}


匹配到@用户时的内容后，通过空格:冒号进行匹配，然后用都好分割，去第二个，放到sql语句中，最后带入查询，造成sql注入。

漏洞证明：

我们发表帖子，然后抓包：

5.png


6.png


这里的content内容在前台进行了过滤，但是我们抓包含可以进行修改，如上图修改。
我们的sql语句会被执行，延迟10秒，帖子发表成功。
看看数据库的执行日志，以及此语句的执行结果：

7.png

修复方案：

过滤

版权声明：转载请注明来源 xfkxfk@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2013-12-20 22:07

厂商回复：

非常感谢反馈。已经再积极处理中。

最新状态：

暂无

漏洞评价：

评论

  1. 2015-03-12 15:26 | 胡小树 ( 实习白帽子 | Rank:60 漏洞数:11 | 我是一颗小小树)

    @xfkxfk 大牛，我想问下，这个版本的系统我测试了下，你说：title和content都么过滤。我测试content可以注入，但是title进数据库的时候 单引号被转义了那。