当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-062266

漏洞标题：WeCenter社交化问答社区有趣的逻辑性sql注入漏洞（冗余安全机制造成的风险）

相关厂商：www.wecenter.com

漏洞作者： 寂寞的瘦子

提交时间：2014-05-28 19:53

修复时间：2014-08-26 19:54

公开时间：2014-08-26 19:54

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-05-28： 细节已通知厂商并且等待厂商处理中
2014-05-29： 厂商已经确认，细节仅向厂商公开
2014-06-01： 细节向第三方安全合作伙伴开放
2014-07-23： 细节向核心白帽子及相关领域专家公开
2014-08-02： 细节向普通白帽子公开
2014-08-12： 细节向实习白帽子公开
2014-08-26： 细节向公众公开

简要描述：

感觉这个漏洞有点意思~~,绕了我半天。
PS：开不开gpc无所谓的

详细说明：

在/system/init.php的59行

if (function_exists('get_magic_quotes_gpc'))
{
	if (@get_magic_quotes_gpc()) // GPC 进行反向处理
	{
		if (! function_exists('stripslashes_gpc'))
		{
			function stripslashes_gpc(&$value)
			{
				$value = stripslashes($value);
			}
		}


如果你服务器开了gpc我就使用stripslashes，就是说初始进入的数据都是没有转义的。很好，适应将来嘛（因为php6已经移除这个get_magic_quotes_gpc()函数）。
在文件/system/aws_model.inc.php的978行，

public function quote($string)
	{
		if (is_object($this->db()))
		{
			//下面return有点意思的，我们去踪$this->db()->quote($string)，俩个quote是不一样，不要以为是递归，不然溢出了
			return trim($this->db()->quote($string), "'");
		}
		
		if (function_exists('mysql_escape_string'))
		{
			$string = @mysql_escape_string($string);
		}
		else
		{
			$string = addslashes($string);
		}
		return $string;
	}


采用的是zend框架。/system/Zend/Db/Adapter/Abstract.php的859行

public function quote($value, $type = null)
    {
        $this->_connect();
        if ($value instanceof Zend_Db_Select) {
            return '(' . $value->assemble() . ')';
        }
        if ($value instanceof Zend_Db_Expr) {
            return $value->__toString();
        }
        if (is_array($value)) {
            foreach ($value as &$val) {
                $val = $this->quote($val, $type);
            }
            return implode(', ', $value);
        }
        if ($type !== null && array_key_exists($type = strtoupper($type), $this->_numericDataTypes)) {
            $quotedValue = '0';
            switch ($this->_numericDataTypes[$type]) {
                case Zend_Db::INT_TYPE: // 32-bit integer
                    $quotedValue = (string) intval($value);
                    break;
                case Zend_Db::BIGINT_TYPE: // 64-bit integer
                    // ANSI SQL-style hex literals (e.g. x'[\dA-F]+')
                    // are not supported here, because these are string
                    // literals, not numeric literals.
                    if (preg_match('/^(
                          [+-]?                  # optional sign
                          (?:
                            0[Xx][\da-fA-F]+     # ODBC-style hexadecimal
                            |\d+                 # decimal or octal, or MySQL ZEROFILL decimal
                            (?:[eE][+-]?\d+)?    # optional exponent on decimals or octals
                          )
                        )/x',
                        (string) $value, $matches)) {
                        $quotedValue = $matches[1];
                    }
                    break;
                case Zend_Db::FLOAT_TYPE: // float or decimal
                    $quotedValue = sprintf('%F', $value);
            }
            return $quotedValue;
        }
        return $this->_quote($value);
    }


这里return回来的是_quote函数，看名字大概就知道了哇同一文件839行

protected function _quote($value)
    {
        if (is_int($value)) {
            return $value;
        } elseif (is_float($value)) {
            return sprintf('%F', $value);
        }
        return "'" . addcslashes($value, "\000\n\r\\'\"\032") . "'";
    }


就是进行addslashes处理。好了我们转义了一次。然后return回来到外层的quote函数，再看看这句return trim($this->db()->quote($string), "'");
主要看trim了去掉两边的'，假如一开始我们输入了’，那么处理到了这里之后剩下\。哈哈，想必你也看出来了。当sql语句执行的时候\就去转义最后包含字符串的反引号了，后面带入查询的函数我就不贴了啊。
使用的是mysql预处理语句，执行的时候都是prepare和execute，和一般的还真的是不一样啊，恶补了下，还是不太懂，zend框架也没去玩过。。
这个bug真是坑爹..

漏洞证明：

官网演示下http://wenda.wecenter.com/explore/
写个私信

QQ图片20140525133211.jpg

修复方案：

版权声明：转载请注明来源 寂寞的瘦子@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2014-05-29 11:54

厂商回复：

谢谢，我们马上修正。

最新状态：

2014-05-29：经测试为 trim 删除了连续的单引号引起的错误，但是无法注入

2014-05-30：已经发布新版 http://wenda.wecenter.com/question/17683

漏洞评价：

评论

  1. 2014-05-28 23:24 | xiaoL ( 普通白帽子 | Rank:361 漏洞数:67 | PKAV技术宅社区!Blog:http://www.xlixli....)

    @寂寞的瘦子你为何这么叼

  2. 2014-05-29 00:16 | 寂寞的瘦子 ( 普通白帽子 | Rank:242 漏洞数:53 | 一切语言转汇编理论)

    @xiaoL 吊毛啊。。

  3. 2014-05-29 00:42 | tnt1200 ( 普通白帽子 | Rank:121 漏洞数:17 | 关注飞机安全....)

    @寂寞的瘦子 叼炸了

  4. 2014-05-29 17:42 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    最新状态：2014-05-29：经测试为 trim 删除了连续的单引号引起的错误，但是无法注入

  5. 2014-05-29 17:49 | 寂寞的瘦子 ( 普通白帽子 | Rank:242 漏洞数:53 | 一切语言转汇编理论)

    @疯狗 恩，被狗哥发现了。。还好机智了的骗了点rank。http://www.wooyun.org/bugs/wooyun-2014-062763/trace/e65d3ff599aab030b50dbc1dcf5ea79f这个也审核了吧

  6. 2014-05-29 17:51 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    @寂寞的瘦子 这样很不好啊，不过看到了一个曾经很经典的安全机制冲突案例。

  7. 2014-05-29 17:57 | 寂寞的瘦子 ( 普通白帽子 | Rank:242 漏洞数:53 | 一切语言转汇编理论)

    @疯狗 我也感觉这种用trim去吃单引号的写法应该会出现经典的例子，有种负负得正的感觉。

  8. 2014-05-29 18:06 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    @寂寞的瘦子 嗯，很多开发人员担心出安全问题，结果各种安全机制手段全上了，反而出现漏洞了，很讽刺也很经典

  9. 2014-06-15 12:19 | nony ( 路人 | Rank:28 漏洞数:13 | Not do is die...)

    @疯狗 网站只有两种状态 一种是攻破 另一种是即将攻破