当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-051077

漏洞标题：phpcms最新版本sql注射漏洞之二

相关厂商：phpcms

漏洞作者： 寂寞的瘦子

提交时间：2014-02-17 11:33

修复时间：2014-05-18 11:34

公开时间：2014-05-18 11:34

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-02-17： 细节已通知厂商并且等待厂商处理中
2014-02-17： 厂商已经确认，细节仅向厂商公开
2014-02-20： 细节向第三方安全合作伙伴开放
2014-04-13： 细节向核心白帽子及相关领域专家公开
2014-04-23： 细节向普通白帽子公开
2014-05-03： 细节向实习白帽子公开
2014-05-18： 细节向公众公开

简要描述：

操蛋捏...
注：经测试需register_globals=on

详细说明：

这次出现在投票模板/phpcms/modules/vote/classes/vote_tag.class.php
哎呀，经过大牛的指点，原来这个注入是需要开启全局变量选项的啊（所以和魔术引导的情况一样苛刻，默认php现在都开启魔术引导和关闭全局变量了,比较鸡肋了）

public function other_vote($data) {
		$siteid = $_GET['siteid'];
		$sql = array('siteid'=>$siteid); 
		return $this->subject_db->select($sql, '*', $data['limit'], $data['order']);//直接带入查询了
	}


和前面一个是一样的。为何前后的函数的$siteid都进行了intval处理，却偏偏遗漏了这个...

漏洞证明：

开启mysql监控，访问http://127.0.0.1/phpcms/index.php?m=vote&c=index&siteid=1然后截断数据包，然后再siteid参数跟进我们的参数，可以看到被带入进去了。

1.png


利用显错读取数据库

.png

修复方案：

版权声明：转载请注明来源 寂寞的瘦子@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：6

确认时间：2014-02-17 13:34

厂商回复：

感谢提交！

最新状态：

暂无

漏洞评价：

评论

  1. 2014-03-11 12:28 | _Evil ( 普通白帽子 | Rank:418 漏洞数:59 | 万事无他,唯手熟尔。农民也会编程,别指望天...)

    从贴出的代码来看和globals无关吧,和gpc有关。。。

  2. 2014-03-27 18:47 | HackBraid 认证白帽子 ( 核心白帽子 | Rank:1545 漏洞数:260 | ...........................................)

    学习了！

  3. 2014-05-18 12:33 | lkboboy ( 路人 | Rank:2 漏洞数:1 | 无所事事)

    又一个瘦子

  4. 2014-07-14 00:06 | ′ 雨。 ( 普通白帽子 | Rank:1231 漏洞数:190 | Only Code Never Lie To Me.)

    感觉你这一枚不需要register globals啊 直接是get获得的。之前那个需要