当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-061259

漏洞标题：Iwebsns sql 第四枚(可直接修改其他用户密码)。

相关厂商：Iwebsns

漏洞作者： ′雨。

提交时间：2014-05-19 19:37

修复时间：2014-08-17 19:38

公开时间：2014-08-17 19:38

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-05-19： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-08-17： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

过滤不严。

详细说明：

在action\privacy\home_access_set.action.php中

$h_access_para=short_check(get_argp('home_acess'));
	$access_q_1=short_check(get_argp('question_1'));
	$access_q_2=short_check(get_argp('question_2'));
	$access_q_3=short_check(get_argp('question_3'));
	$access_a_1=short_check(get_argp('answer_1'));
	$access_a_2=short_check(get_argp('answer_2'));
	$access_a_3=short_check(get_argp('answer_3'));


这里全部会被转义。

if($h_access_para=='3'){  	
  	  $sql_part=",access_questions='$access_q_1,$access_q_2,$access_q_3'";
  	  $sql_part=$sql_part.",access_answers='$access_a_1,$access_a_2,$access_a_3'";
  }
		$sql="update $t_users set access_limit=$h_access_para $sql_part where user_id=$user_id";
		echo $sql;
		exit;


这里可以看到$h_access_para 直接带入了update查询中 且没有单引号
所以被转义也没有什么。
而且直接在set位 所以可以直接修改其他会员的密码之类的。

漏洞证明：

is.jpg

修复方案：

单引号来上。、

版权声明：转载请注明来源 ′雨。@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝