当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-080877

漏洞标题：qibocms 地方门户系统 二次注入#5(demo测试)

相关厂商：齐博CMS

漏洞作者： ′雨。

提交时间：2014-10-31 11:56

修复时间：2015-01-29 11:58

公开时间：2015-01-29 11:58

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-10-31： 细节已通知厂商并且等待厂商处理中
2014-10-31： 厂商已经确认，细节仅向厂商公开
2014-11-03： 细节向第三方安全合作伙伴开放
2014-12-25： 细节向核心白帽子及相关领域专家公开
2015-01-04： 细节向普通白帽子公开
2015-01-14： 细节向实习白帽子公开
2015-01-29： 细节向公众公开

简要描述：

二次注入。

详细说明：

在hy/member/homepage_ctrl/pic_fm.php中

if(count($pids)<1) showerr("请选择一张图片");
if(!$psid) showerr("请指定一个图集");
foreach($pids as $pid){
	if($pid){
		$rt=$db->get_one("SELECT url FROM {$_pre}pic WHERE pid='$pid'");
		$db->query("UPDATE {$_pre}picsort SET faceurl='$rt[url]' WHERE psid='$psid' AND uid='$uid'");//这里把出库的带入到了update查询当中 来找找入库的
		break;
	}
}


入库的地方挺多 随便找一处把
在hy/member/homepage_ctrl/pic_upload.php中

foreach($photoDB[url] AS $key=>$value){
		if(!eregi("\.(gif|jpg|jpeg|png|bmp)$",$value)){
			delete_attachment($uid,tempdir($value));//限定结尾必须jpg啥的
			continue;
		}
	
		$picpath = "homepage/pic/".ceil($uid/1000)."/";
		$picurl = $picpath.basename($value);//basename不影响
	
		move_attachment($uid,tempdir($value),$picpath);	//图片转移目录与加水印
		if(!is_file(ROOT_PATH."$webdb[updir]/$picurl")){
			$picurl=$value;
		}
		
		$Newpicpath=ROOT_PATH."$webdb[updir]/{$picurl}.gif";
		gdpic(ROOT_PATH."$webdb[updir]/$picurl",$Newpicpath,150,150);
		if(!is_file($Newpicpath)){
			copy(ROOT_PATH."$webdb[updir]/{$picurl}",$Newpicpath);
		}
		$title = filtrate($photoDB[name][$key]);
		$title = get_word($title,32);
	
		//echo "INSERT INTO `{$_pre}pic` (`psid` , `uid` , `username` ,  `title` , `url` , `level` , `yz` , `posttime` , `isfm` , `orderlist`  ) VALUES ('$psid', '$uid', '$lfjid', '$title', '$picurl', '0', '1', '$timestamp', '0', '0')";exit;
		$db->query("INSERT INTO `{$_pre}pic` (`psid` , `uid` , `username` ,  `title` , `url` , `level` , `yz` , `posttime` , `isfm` , `orderlist`  ) VALUES ('$psid', '$uid', '$lfjid', '$title', '$picurl', '0', '1', '$timestamp', '0', '0')"); //这里把$picurl 带入到了insert当中 入库
		$ck++;


首先入库一个。

15.jpg


转义入库。 然后

17.jpg


出库 导致注入。
构造一下。

18.jpg


转义入库 这里我把语句输出一下。
然后 出库。
/hy/member/homepage_ctrl.php?atn=pic_fm&pids[]=45&psid=3313

19.jpg


出数据。
demo 测试:

20.jpg


入库
出库

21.jpg


构造一下 可以看update哪个column 出数据的。

漏洞证明：

19.jpg

修复方案：

出库转义。

版权声明：转载请注明来源 ′雨。@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2014-10-31 15:44

厂商回复：

感谢提出来

最新状态：

暂无

漏洞评价：

评论

  1. 2014-10-31 11:57 | PythonPig ( 普通白帽子 | Rank:491 漏洞数:71 | 只会简单工具的小小菜)

    雨牛冲破1000大关

  2. 2014-10-31 12:06 | ′雨。 ( 普通白帽子 | Rank:1231 漏洞数:190 | Only Code Never Lie To Me.)

    算了 放弃了。。 全都是上首页后马上就下首页。 本来还以为能靠这几个破1000rank。 结果全部小厂商。 又不是同一种代码造成的注入， @Finger 后面几个不用急着通过了， 麻烦牛牛了， 还是好好读书了 闪人。

  3. 2014-10-31 12:14 | ki11y0u ( 普通白帽子 | Rank:104 漏洞数:23 | 好好学习，求带飞~~~~~~~~~~~~~~~~~~~~~~...)

    @′雨。 雨牛，威武，好好读书吧。