当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-073703

漏洞标题:frcms 多处注入可导致任意文件删除。

相关厂商:finereason.com

漏洞作者: ′king

提交时间:2014-08-26 11:49

修复时间:2014-11-24 11:50

公开时间:2014-11-24 11:50

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-08-26: 细节已通知厂商并且等待厂商处理中
2014-08-26: 厂商已经确认,细节仅向厂商公开
2014-08-29: 细节向第三方安全合作伙伴开放
2014-10-20: 细节向核心白帽子及相关领域专家公开
2014-10-30: 细节向普通白帽子公开
2014-11-09: 细节向实习白帽子公开
2014-11-24: 细节向公众公开

简要描述:

rt

详细说明:

在person/person_certificate.php中

defined('IN_FR') or exit('Access Denied');
@session_start();
$_SESSION["sUploadDir"]="person/";
if($do=='savedata'){
for($i=1;$i<=5;$i++){
$filename="filename0".$i;$filename=$$filename;
$name="name0".$i;$info="info0".$i;
if ($filename!=''){
$name=cleartags($$name);$info=cleartags($$info);$flag=$regpArray[3]==1?0:1;
$db ->query("INSERT INTO {$cfg['tb_pre']}picture (p_filename,p_type,p_status,p_member,p_adddate,p_name,p_flag,p_info) VALUES('$filename',21,1,'$username',NOW(),'$name','$flag','$info')");
}
}
showmsg('证书保存成功,并已附加至简历页面!',"?mpage=person_certificate&show=$show",0,2000);exit();
}elseif($do=='hidden'){
$db ->query("update {$cfg['tb_pre']}picture set p_status=0 where p_member='$username' and p_id in ($checks)");
showmsg('取消附加成功,需要附加请选择证书后点击附加至简历!',"?mpage=person_certificate&show=$show",0,2000);exit();
}elseif($do=='show'){
$db ->query("update {$cfg['tb_pre']}picture set p_status=1 where p_member='$username' and p_id in ($checks)");
showmsg('设置成功,需要取消附件请选择证书后点击取消附加!',"?mpage=person_certificate&show=$show",0,2000);exit();
}elseif($do=='del'){
$result=$db ->query("select p_filename from {$cfg['tb_pre']}picture where p_member='$username' and p_id in ($checks)");
while($row=$db->fetch_array($result)){
var_dump ($row['p_filename']);exit;
@unlink($row['p_filename']);
}


其他位置的$check大部分都进行正则
$checks = preg_replace("/[^0-9,\.-]/i",'',$checks);
但是这里的$check却没有进行正则 且无单引号 所以这里注入了。
因为 frcms内置了一个80sec的ids 但是是可以绕过的。

$result=$db ->query("select p_filename from {$cfg['tb_pre']}picture where p_member='$username' and p_id in ($checks)");
while($row=$db->fetch_array($result)){
var_dump ($row['p_filename']);exit;
@unlink($row['p_filename']);


可以du7i查询出来的进行了unlink 这里我们控制$checks 可以来注入
这样我们查询出来的也可以控制 也就可以了注入 这里我先输出一下$row['p_filename']

f1.jpg


这里我们让查询出来的是robots.txt
就union select robots.txt 但是因为后面的是字符的
所以应该是Union select 'robots.txt' 但是由于frcms全局的转义
所以单引号被转义了 这样是不行的 所以直接hex一次

f2.jpg


f3.jpg


文件成功删除了 但是报错了

$result=$db ->query("select p_filename from {$cfg['tb_pre']}picture where p_member='$username' and p_id in ($checks)");
while($row=$db->fetch_array($result)){
@unlink($row['p_filename']);
}
$db ->query("delete from {$cfg['tb_pre']}picture where p_member='$username' and p_id in ($checks)");


因为在unlink之后 还有个delete 所以语法出错
但是不用管 因为文件已经删除。
________________________________________________________________________
同理 还有 /member/user_photos.php
/person/person_favorite.php
多处未验证。

漏洞证明:

f3.jpg

修复方案:

全部正则验证。

版权声明:转载请注明来源 ′king@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:5

确认时间:2014-08-26 12:12

厂商回复:

此漏洞在新版本中已修复

最新状态:

暂无


漏洞评价:

评论