KPPW多处Sql注射漏洞 | wooyun-2014-058629

漏洞概要关注数(24) 关注此漏洞

缺陷编号：

wooyun-2014-058629

漏洞标题：

KPPW多处Sql注射漏洞

漏洞详情

披露状态：

2014-04-28：细节已通知厂商并且等待厂商处理中
2014-05-03：厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2014-06-27：细节向核心白帽子及相关领域专家公开
2014-07-07：细节向普通白帽子公开
2014-07-17：细节向实习白帽子公开
2014-07-24：细节向公众公开

简要描述：

过滤不严。不考虑GPC。

详细说明：

第一处在control/ajax/ajax_shop.php中

switch ($action) {
	case "load_sale" :
		$shop_id and $list = db_factory::query(' select price,title,service_id,pic from '.TABLEPRE.'witkey_service where shop_id = '.$shop_id.' and service_status=2 order by on_time desc limit 0,4');
		break;
}
require keke_tpl_class::template ('ajax/ajax_shop');

在这里 $shop_id 未单引号。且无过滤。
在control/ajax.php中

$views = array('prom','ajax','upload','indus','score','code','share','menu','message','file','task','shop');
in_array($view,$views) or $view ="ajax";
require 'ajax/ajax_'.$view.'.php';

这里包含漏洞文件进来。
直接注入那。
第二处在payment\chinabank\notify.php中

$key = $chinabank_seller_id;
$v_oid = trim ( $_POST ['v_oid'] ); // 商户发送的v_oid定单编号   
$v_pmode = trim ( $_POST ['v_pmode'] ); // 支付方式（字符串）   
$v_pstatus = trim ( $_POST ['v_pstatus'] ); //支付状态 ：20 成功,30 失败
$v_pstring = trim ( $_POST ['v_pstring'] ); // 支付结果信息
$v_amount = trim ( $_POST ['v_amount'] ); // 订单实际支付金额
$v_moneytype = trim ( $_POST ['v_moneytype'] ); //订单实际支付币种    
$remark1 = trim ( $_POST ['remark1'] ); //备注字段1
$remark2 = trim ( $_POST ['remark2'] ); //备注字段2
$v_md5str = trim ( $_POST ['v_md5str'] ); //拼凑后的MD5校验值  
/* 重新计算md5的值 */
$text = "{$v_oid}{$v_pstatus}{$v_amount}{$v_moneytype}{$key}";
$md5string = strtoupper ( md5 ( $text ) );
//echo $md5string;
$total_fee = $_POST ['total_fee']; //获取总价格  
chmod('log.txt',777);
KEKE_DEBUG and $fp = file_put_contents ( 'log.txt', var_export($_POST,1),FILE_APPEND);//信息录入
/* 判断返回信息，如果支付成功，并且支付结果可信，则做进一步的处理 */
if ($v_md5str == $md5string) {
	list ( $_, $charge_type, $uid, $obj_id, $order_id, $model_id ) = explode ( '-', $v_oid, 6 );
	if ($v_pstatus == "20" && $_ == 'charge') {
		/* charge */
		$fac_obj = new pay_return_fac_class ( $charge_type, $model_id, $uid, $obj_id, $order_id, $v_amount, 'chinabank' );

key为空的不用考虑。这里验证了一下md5是否相等。简单通过。
第三处在control/user/user_message.php中

switch ($op) {
	case 'mulit_del':
		if($msg_id){
			foreach ($msg_id as $v){
				list($msg_id,$status) = explode(',', $v);
				if($status==0 &&$msg_type == 'output'){
					$res = db_factory::execute("update ".TABLEPRE."witkey_msg set msg_status=1 where msg_id in ($msg_id)");
				}else if($msg_type == 'accept'&&$status == 0){
					$res = db_factory::execute("update ".TABLEPRE."witkey_msg set msg_status=2 where msg_id in ($msg_id)");
				}else{
					msg_del($msg_id);
				}
			}

直接赋值然后带入查询无过滤。

漏洞证明：

第一处漏洞证明：

第二处漏洞证明：

成功带入查询。
第三处漏洞证明：

修复方案：

过滤。

版权声明：转载请注明来源 ′雨。@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-07-24 11:06

WooYun.org

漏洞概要关注数(24) 关注此漏洞

漏洞详情

披露状态：

简要描述：

详细说明：

漏洞证明：

修复方案：

版权声明：转载请注明来源 ′雨。@乌云

漏洞回应

厂商回应：

厂商回复：

最新状态：

WooYun.org

漏洞概要 关注数(24) 关注此漏洞

漏洞详情

披露状态：

简要描述：

详细说明：

漏洞证明：

修复方案：

版权声明：转载请注明来源 ′雨。@乌云

漏洞回应

厂商回应：

厂商回复：

最新状态：

漏洞概要关注数(24) 关注此漏洞