当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-065837

漏洞标题：qibocms 黄页系统SQL注入一枚

相关厂商：齐博CMS

漏洞作者： ′雨。

提交时间：2014-06-23 11:14

修复时间：2014-09-21 11:16

公开时间：2014-09-21 11:16

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-06-23： 细节已通知厂商并且等待厂商处理中
2014-06-24： 厂商已经确认，细节仅向厂商公开
2014-06-27： 细节向第三方安全合作伙伴开放
2014-08-18： 细节向核心白帽子及相关领域专家公开
2014-08-28： 细节向普通白帽子公开
2014-09-07： 细节向实习白帽子公开
2014-09-21： 细节向公众公开

简要描述：

过滤不严。

详细说明：

http://bbs.qibosoft.com/down2.php?v=hy1.0#down
这里下载地址 刚下载的。
在hy/choose_pic.php中

if($action=='upload'){
		
	if(is_uploaded_file($_FILES[postfile][tmp_name])){
		
		$array[name]=is_array($postfile)?$_FILES[postfile][name]:$postfile_name;
		$title=$title?$title:$array[name];
		$myname_str=explode(".",strtolower($array[name]));
		$myname=$myname_str[(count($myname_str)-1)];
		if(!in_array($myname,array('gif','jpg'))) $msg="{$array[name]}图片只能是gif或者jpg的格式";		
		$array[path]="$webdb[updir]/homepage/pic/".ceil($lfjuid/1000)."/$lfjuid";	//商家图片另存
		$array[size]=is_array($postfile)?$_FILES[postfile][size]:$postfile_size;
		$webdb[company_uploadsize_max]=$webdb[company_uploadsize_max]?$webdb[company_uploadsize_max]:100;
		//if($array[size]>$webdb[company_uploadsize_max]*1024)	$msg="{$array[name]}图片超过最大{$webdb[company_uploadsize_max]}K限制";
		
		if($msg==''){
			$picurl=upfile(is_array($postfile)?$_FILES[postfile][tmp_name]:$postfile,$array);
			if($picurl){
					
					$Newpicpath=ROOT_PATH."$array[path]/{$picurl}.gif";
					gdpic(ROOT_PATH."$array[path]/$picurl",$Newpicpath,120,120);
					if(!file_exists($Newpicpath)){
						copy(ROOT_PATH."$array[path]/{$picurl}",$Newpicpath);
					}
					//$msg="{$array[name]}上传成功";
					$picurl="homepage/pic/".ceil($lfjuid/1000)."/$lfjuid/$picurl";
					$title=get_word($title,32);
					$db->query("INSERT INTO `{$_pre}pic` ( `pid` , `psid` , `uid` , `username` ,  `title` , `url` , `level` , `yz` , `posttime` , `isfm` , `orderlist`  ) VALUES ('', '$psid', '$lfjuid', '$lfjid', '$title', '$picurl', '0', '{$webdb[auto_userpostpic]}', '$timestamp', '0', '0');");


可以看到$title=get_word($title,32); 看看title哪里来的
$title=$title?$title:$array[name]; 如果没定义$title的话就是直接用上传时候文件的名字做的 $_FILES的 然后就无视转义了。
然后就带入到了insert当中。

漏洞证明：

qh1.jpg


报错了 构造一下语句。

q1.jpg


这里限制了后缀必须为jpg之类的 所以在文件名的后面还是需要加一个这个。

q2.jpg


直接查看源码得到数据。

修复方案：

版权声明：转载请注明来源 ′雨。@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：5

确认时间：2014-06-24 11:09

厂商回复：

感谢提出来！

最新状态：

暂无