当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-051077

漏洞标题：phpcms最新版本sql注射漏洞之二

相关厂商：phpcms

漏洞作者： 寂寞的瘦子

提交时间：2014-02-17 11:33

修复时间：2014-05-18 11:34

公开时间：2014-05-18 11:34

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-02-17： 细节已通知厂商并且等待厂商处理中
2014-02-17： 厂商已经确认，细节仅向厂商公开
2014-02-20： 细节向第三方安全合作伙伴开放
2014-04-13： 细节向核心白帽子及相关领域专家公开
2014-04-23： 细节向普通白帽子公开
2014-05-03： 细节向实习白帽子公开
2014-05-18： 细节向公众公开

简要描述：

操蛋捏...
注：经测试需register_globals=on

详细说明：

这次出现在投票模板/phpcms/modules/vote/classes/vote_tag.class.php
哎呀，经过大牛的指点，原来这个注入是需要开启全局变量选项的啊（所以和魔术引导的情况一样苛刻，默认php现在都开启魔术引导和关闭全局变量了,比较鸡肋了）

public function other_vote($data) {
		$siteid = $_GET['siteid'];
		$sql = array('siteid'=>$siteid); 
		return $this->subject_db->select($sql, '*', $data['limit'], $data['order']);//直接带入查询了
	}


和前面一个是一样的。为何前后的函数的$siteid都进行了intval处理，却偏偏遗漏了这个...

漏洞证明：

开启mysql监控，访问http://127.0.0.1/phpcms/index.php?m=vote&c=index&siteid=1然后截断数据包，然后再siteid参数跟进我们的参数，可以看到被带入进去了。

1.png


利用显错读取数据库

.png

修复方案：

版权声明：转载请注明来源 寂寞的瘦子@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：6

确认时间：2014-02-17 13:34

厂商回复：

感谢提交！

最新状态：

暂无