当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-051271

漏洞标题：程氏舞曲CMS最新php版本高危SQL注入漏洞

相关厂商：chshcms.com

漏洞作者： 寂寞的瘦子

提交时间：2014-02-18 14:08

修复时间：2014-05-19 14:08

公开时间：2014-05-19 14:08

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-02-18： 细节已通知厂商并且等待厂商处理中
2014-02-18： 厂商已经确认，细节仅向厂商公开
2014-02-21： 细节向第三方安全合作伙伴开放
2014-04-14： 细节向核心白帽子及相关领域专家公开
2014-04-24： 细节向普通白帽子公开
2014-05-04： 细节向实习白帽子公开
2014-05-19： 细节向公众公开

简要描述：

注入毫无限制！

详细说明：

昨天刚下载的源码（应该最新的吧...）
bug文件位置：https://wooyun-img.oss-cn-beijing.aliyuncs.com/upload/app/models/csdjskins.php第3466行

function GetIP(){ //定义了一个获取ip地址的函数
                    if (getenv("HTTP_CLIENT_IP") && strcasecmp(getenv("HTTP_CLIENT_IP"), "unknown")) //换取ip地址，如果存在，则使用client_ip。
                    $ip = getenv("HTTP_CLIENT_IP"); 
                    else if (getenv("HTTP_X_FORWARDED_FOR") && strcasecmp(getenv("HTTP_X_FORWARDED_FOR"), "unknown")) //同上，获取x-forwarded-for的ip
                    $ip = getenv("HTTP_X_FORWARDED_FOR"); 
                    else if (getenv("REMOTE_ADDR") && strcasecmp(getenv("REMOTE_ADDR"), "unknown")) 
                    $ip = getenv("REMOTE_ADDR"); 
                    else if (isset($_SERVER['REMOTE_ADDR']) && $_SERVER['REMOTE_ADDR'] && strcasecmp($_SERVER['REMOTE_ADDR'], "unknown")) 
                    $ip = $_SERVER['REMOTE_ADDR']; 
                    else 
                    $ip = ""; 
                    return($ip);


跟踪GetIp（）函数调用地址：https://wooyun-img.oss-cn-beijing.aliyuncs.com/upload/app/controllers/open.php第186行。

$regip=$this->CsdjSkins->GetIP();//使用句柄调用了前面的获取ip函数
		if(empty($regip)){//仅仅判断是否为空，没做处理
                      $this->CsdjSkins->Msg_url('请不要使用代理注册!','javascript:history.back();'); 
                }
		if($this->CsdjSkins->Getqx($user['CS_Name'],User_RegJzName)=='ok'){ //禁止帐号
                      $this->CsdjSkins->Msg_url('您的帐号已被禁止注册!','javascript:history.back();'); 
                }
		if($this->CsdjSkins->Getqx($user['CS_Nichen'],User_RegJzName)=='ok'){ //禁止帐号
                      $this->CsdjSkins->Msg_url('您的呢称已被禁止注册!','javascript:history.back();'); 
                }
                $sqlu="SELECT cs_id,CS_AddTime FROM ".CS_SqlPrefix."user where CS_Regip='".$regip."'";//带入查询


漏洞证明：

本地环境搭建演示：去前台注册会员，然后burp抓包，伪造ip参数。这边伪造Clien-IP和x-forwarded-for都可以，

QQ图片20140218114031.jpg


可以看到日志中'被带入查询了。
Post注入还是使用sqlmap演示下吧

QQ图片20140218114102.jpg

修复方案：

其实我是为了礼物挖洞的，厂商求礼物啊...

版权声明：转载请注明来源 寂寞的瘦子@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2014-02-18 14:49

厂商回复：

谢谢您的漏洞提醒
已经修复！

最新状态：

暂无

漏洞评价：

评论