当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-051905

漏洞标题：ThinkSAAS SQL注入漏洞打包6-10

相关厂商：thinksaas.cn

漏洞作者： xfkxfk

提交时间：2014-02-24 17:59

修复时间：2014-05-25 17:59

公开时间：2014-05-25 17:59

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-02-24： 细节已通知厂商并且等待厂商处理中
2014-02-24： 厂商已经确认，细节仅向厂商公开
2014-02-27： 细节向第三方安全合作伙伴开放
2014-04-20： 细节向核心白帽子及相关领域专家公开
2014-04-30： 细节向普通白帽子公开
2014-05-10： 细节向实习白帽子公开
2014-05-25： 细节向公众公开

简要描述：

详细说明：

上个注入大礼包，终于走了一个大厂商！
看来还是打包来的划算，最后一个注入大礼包了。
这个漏洞完了，回给出修复方案，求给力！
第一处SQL注入
/app/group/action/add.php

// 执行发布帖子
        case "do" :
                
                if ($_POST ['token'] != $_SESSION ['token']) {
                        tsNotice ( '非法操作！' );
                }
                
                $authcode = strtolower ( $_POST ['authcode'] );
                
                if ($TS_SITE ['base'] ['isauthcode']) {
                        if ($authcode != $_SESSION ['verify']) {
                                tsNotice ( "验证码输入有误，请重新输入！" );
                        }
                }
                
                $groupid = intval ( $_POST ['groupid'] );
                $title = tsClean ( $_POST ['title'] );
                $content = tsClean ( $_POST ['content'] );
                $typeid = intval ( $_POST ['typeid'] );
                $tag = tsClean ( $_POST ['tag'] );
......
// 处理@用户名
                if (preg_match_all ( '/@/', $content, $at )) {
                        preg_match_all ( "/@(.+?)([\s|:]|$)/is", $content, $matches );
                        
                        $unames = $matches [1];
                        
                        $ns = "'" . implode ( "','", $unames ) . "'";
                        
                        $csql = "username IN($ns)";
                        
                        if ($unames) {
                                
                                $query = $db->fetch_all_assoc ( "select userid,username from " . dbprefix . "user_info where $csql" );


这里在进行发帖时，内容可以@别人，但是在匹配@内容时，content内容由函数tsClean()过滤，同样没有到的过滤SQL的功能。没有任何处理，进行了sql查询语句，导致SQL注入。
第二处SQL注入
/app/group/action/add.php

// 处理@用户名
                if (preg_match_all ( '/@/', $content, $at )) {
                        preg_match_all ( "/@(.+?)([\s|:]|$)/is", $content, $matches );
                        
                        $unames = $matches [1];
                        
                        $ns = "'" . implode ( "','", $unames ) . "'";
                        
                        $csql = "username IN($ns)";
                        
                        if ($unames) {
                                
                                $query = $db->fetch_all_assoc ( "select userid,username from " . dbprefix . "user_info where $csql" );
                                
                                foreach ( $query as $v ) {
                                        $content = str_replace ( '@' . $v ['username'] . '', '[@' . $v ['username'] . ':' . $v ['userid'] . ']', $content );
                                        $msg_content = '我在帖子中提到了你<br />去看看：' . tsUrl ( 'group', 'topic', array (
                                                        'id' => $topicid 
                                        ) );
                                        aac ( 'message' )->sendmsg ( $userid, $v ['userid'], $msg_content );
                                }
                                $new ['group']->update ( 'group_topic', array (
                                                'topicid' => $topicid 
                                ), array (
                                                'content' => $content 
                                ) );
                        }


也是在第一处SQL注入的下面，进行了update操作，同样content没有过滤进入update的row参数，没过滤导致注入。
如图证明：

1.png


第三处SQL注入
/app/group/action/after.php

//执行补贴
        case "ado":
        
                if($_POST['token'] != $_SESSION['token']) {
                        tsNotice('非法操作！');
                }
                
                $topicid = intval($_POST['topicid']);
                $content = tsClean($_POST['content']);
                $title = tsClean($_POST['title']);
......
//上传附件开始
                $attUpload = tsUpload($_FILES['attfile'],$afterid,'after',array('zip','rar','doc','txt','pdf','ppt','docx','xls','xlsx'));
                if($attUpload){
                        $new['group']->update('group_topic_add',array(
                                'id'=>$afterid,
                        ),array(
                                'path'=>$attUpload['path'],
                                'attach'=>$attUpload['url'],
                                'attachname'=>$attUpload['name'],
                        ));
                }
                //上传附件结束


执行补贴时，上传附件时，对上传文件的名字那么没有过滤，导致SQL注入。
第四+五处SQL注入
/app/group/action/after.php

//编辑执行
        case "edo":
        
                if($_POST['token'] != $_SESSION['token']) {
                        tsNotice('非法操作！');
                }
        
                $afterid = intval($_POST['afterid']);
                
                $strAfter = $new['group']->find('group_topic_add',array(
                        'id'=>$afterid,
                ));
                
                if($strAfter['userid'] == $userid || $TS_USER['user']['isadmin']==1){
                
                        $content = tsClean($_POST['content']);
                        $title = tsClean($_POST['title']);
                        
                        //过滤内容开始
                        aac('system')->antiWord($title);
                        aac('system')->antiWord($content);
                        //过滤内容结束
                        
                        $new['group']->update('group_topic_add',array(
                                'id'=>$afterid,
                        ),array(
                                'title'=>$title,
                                'content'=>$content,
                                'uptime'=>time(),
                        ));
......
//上传附件开始
                        $attUpload = tsUpload($_FILES['attfile'],$afterid,'after',array('zip','rar','doc','txt','pdf','ppt','docx','xls','xlsx'));
                        if($attUpload){
                                $new['group']->update('group_topic_add',array(
                                        'id'=>$afterid,
                                ),array(
                                        'path'=>$attUpload['path'],
                                        'attach'=>$attUpload['url'],
                                        'attachname'=>$attUpload['name'],
                                ));


这里存在两处，一处是编辑发布的补贴内容时，title和content都没有过滤，导致SQL注入。
还有一处就是编辑补贴时上传附件，附件的名字那么未过滤，导致SQL注入。
证明如图：

2.png

漏洞证明：

见详细说明

修复方案：

说一下具体的修复吧：
此应用之前2.0.1没有全局过滤，导致大面积SQL注入。
2月15更新了2.1.
但是在2.1里面虽然加了全局过滤gpc，但是在部分地方使用了tsClean函数，
而tsClean又有stripslashes，所以导致又免过滤了，造成SQL注入。
还有就是在update时，值处理了where那里，在row和key那里都没有处理。
加上上面注意的两点，全局过滤+SQL入口处理，既可以修复大部分问题了。
至于细节，你们都懂，官方看着修复吧。

版权声明：转载请注明来源 xfkxfk@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2014-02-24 18:12

厂商回复：

再次感谢xfkxfk对thinksaas的关注。
非常感谢提供详细的修复方案，update问题已修复！

最新状态：

暂无

漏洞评价：

评论

  1. 2014-02-24 18:13 | ThinkSAAS(乌云厂商)

    请问xfkxfk能否提供详细的修复方案，谢谢！已私信

  2. 2014-02-24 18:57 | 寂寞的瘦子 ( 普通白帽子 | Rank:242 漏洞数:53 | 一切语言转汇编理论)

    你关注的白帽子 @xfkxfk 发表了漏洞 Discuz! X3.1最新版储存型XSS?

  3. 2014-02-24 20:28 | xfkxfk 认证白帽子 ( 核心白帽子 | Rank:2179 漏洞数:338 | 呵呵！)

    @寂寞的瘦子 据说是重复了，最新版同意存在

  4. 2014-02-25 00:30 | Luverose ( 路人 | Rank:12 漏洞数:2 | 我才不是小号)

    赞

  5. 2014-02-25 09:56 | lpcdma ( 路人 | Rank:12 漏洞数:6 | 人类)

    @xfkxfk 求细节。

  6. 2014-05-25 19:15 | ddy ( 实习白帽子 | Rank:44 漏洞数:16 | 其实第一次要我挖洞我是拒绝的。因为，你不...)

    帮忙看看记事狗的，我在用，。。。

  7. 2014-05-25 23:38 | 忆苦思甜 ( 实习白帽子 | Rank:65 漏洞数:25 )

    审计牛 求审计思路