当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-085793

漏洞标题：phpcms后台变量覆盖导致SQL注入

相关厂商：phpcms

漏洞作者： JsStack

提交时间：2014-12-08 18:31

修复时间：2014-12-13 18:32

公开时间：2014-12-13 18:32

漏洞类型：SQL注射漏洞

危害等级：低

自评Rank：5

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-12-08： 细节已通知厂商并且等待厂商处理中
2014-12-13： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

用到了大量extract，稍不注意就会造成问题。这次是个sql注入,需要管理员权限

详细说明：

v9
代码在ipbanned.php line74

public function search_ip() {
		$where = '';
		if($_GET['search']) extract($_GET['search']);
		if($ip){
			$where .= $where ?  " AND ip LIKE '%$ip%'" : " ip LIKE '%$ip%'";
		}
		$page = isset($_GET['page']) && intval($_GET['page']) ? intval($_GET['page']) : 1;
		$infos = $this->db->listinfo($where,$order = 'ipbannedid DESC',$page, $pages = '2');
		$pages = $this->db->pages;
  		$big_menu = array('javascript:window.top.art.dialog({id:\'add\',iframe:\'?m=admin&c=ipbanned&a=add\', title:\''.L('add_ipbanned').'\', width:\'450\', height:\'300\'}, function(){var d = window.top.art.dialog({id:\'add\'}).data.iframe;var form = d.document.getElementById(\'dosubmit\');form.click();return false;}, function(){window.top.art.dialog({id:\'add\'}).close()});void(0);', L('add_ipbanned'));
		include $this->admin_tpl('ip_search_list');
	}


这句extract($_GET['search']);，提交任意key=value对都会解析成变量。
下面

if($ip){
			$where .= $where ?  " AND ip LIKE '%$ip%'" : " ip LIKE '%$ip%'";
		}


没有ip的话就会绕过这句，只需提交search内容为where=xxx，就可以覆盖变量$where,顺利到达sql。
例如提交1=1，最终sql为：

SELECT COUNT(*) AS num FROM `phpcms`.`v9_ipbanned` WHERE 1=1 LIMIT 1


虽然会加反斜杠转义引号等符号，但是可以用char(99,58,92,119,105,110),concat()等绕过这些限制。
可用来猜解数据库名，帐户密码等。

漏洞证明：

修复方案：

版权声明：转载请注明来源 JsStack@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-12-13 18:32

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2015-06-04 05:41 | 探狗 ( 路人 | Rank:2 漏洞数:2 | 报！！探狗飞报！！！)

    后台，后台还有个代码执行

  2. 2015-07-27 00:34 | 0c0c0f ( 实习白帽子 | Rank:48 漏洞数:15 | My H34rt c4n 3xploit 4ny h0les!)

    @JsStack 还没修复呢.