2014-04-28： 细节已通知厂商并且等待厂商处理中 2014-05-03： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放 2014-06-27： 细节向核心白帽子及相关领域专家公开 2014-07-07： 细节向普通白帽子公开 2014-07-17： 细节向实习白帽子公开 2014-07-24： 细节向公众公开
过滤不严。 不考虑GPC。
第一处在control/ajax/ajax_shop.php中
switch ($action) { case "load_sale" : $shop_id and $list = db_factory::query(' select price,title,service_id,pic from '.TABLEPRE.'witkey_service where shop_id = '.$shop_id.' and service_status=2 order by on_time desc limit 0,4'); break;}require keke_tpl_class::template ('ajax/ajax_shop');
在这里 $shop_id 未单引号。 且无过滤。在control/ajax.php中
$views = array('prom','ajax','upload','indus','score','code','share','menu','message','file','task','shop');in_array($view,$views) or $view ="ajax";require 'ajax/ajax_'.$view.'.php';
这里 包含漏洞文件进来。直接注入那。第二处在payment\chinabank\notify.php中
$key = $chinabank_seller_id;$v_oid = trim ( $_POST ['v_oid'] ); // 商户发送的v_oid定单编号 $v_pmode = trim ( $_POST ['v_pmode'] ); // 支付方式（字符串） $v_pstatus = trim ( $_POST ['v_pstatus'] ); //支付状态 ：20 成功,30 失败$v_pstring = trim ( $_POST ['v_pstring'] ); // 支付结果信息$v_amount = trim ( $_POST ['v_amount'] ); // 订单实际支付金额$v_moneytype = trim ( $_POST ['v_moneytype'] ); //订单实际支付币种 $remark1 = trim ( $_POST ['remark1'] ); //备注字段1$remark2 = trim ( $_POST ['remark2'] ); //备注字段2$v_md5str = trim ( $_POST ['v_md5str'] ); //拼凑后的MD5校验值 /* 重新计算md5的值 */$text = "{$v_oid}{$v_pstatus}{$v_amount}{$v_moneytype}{$key}";$md5string = strtoupper ( md5 ( $text ) );//echo $md5string;$total_fee = $_POST ['total_fee']; //获取总价格 chmod('log.txt',777);KEKE_DEBUG and $fp = file_put_contents ( 'log.txt', var_export($_POST,1),FILE_APPEND);//信息录入/* 判断返回信息，如果支付成功，并且支付结果可信，则做进一步的处理 */if ($v_md5str == $md5string) { list ( $_, $charge_type, $uid, $obj_id, $order_id, $model_id ) = explode ( '-', $v_oid, 6 ); if ($v_pstatus == "20" && $_ == 'charge') { /* charge */ $fac_obj = new pay_return_fac_class ( $charge_type, $model_id, $uid, $obj_id, $order_id, $v_amount, 'chinabank' );
key为空的 不用考虑。 这里验证了一下md5是否相等。 简单通过。第三处在control/user/user_message.php中
switch ($op) { case 'mulit_del': if($msg_id){ foreach ($msg_id as $v){ list($msg_id,$status) = explode(',', $v); if($status==0 &&$msg_type == 'output'){ $res = db_factory::execute("update ".TABLEPRE."witkey_msg set msg_status=1 where msg_id in ($msg_id)"); }else if($msg_type == 'accept'&&$status == 0){ $res = db_factory::execute("update ".TABLEPRE."witkey_msg set msg_status=2 where msg_id in ($msg_id)"); }else{ msg_del($msg_id); } }
直接赋值 然后带入查询 无过滤。
第一处漏洞证明：
第二处漏洞证明：
成功带入查询。第三处漏洞证明：
过滤。
危害等级：无影响厂商忽略
忽略时间：2014-07-24 11:06
暂无
