当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：
wooyun-2014-073703
漏洞标题：
frcms 多处注入可导致任意文件删除。
相关厂商：
finereason.com
漏洞作者：
′king
提交时间：
2014-08-26 11:49
修复时间：
2014-11-24 11:50
公开时间：
2014-11-24 11:50
漏洞类型：
SQL注射漏洞
危害等级：
高
自评Rank：
20
漏洞状态：
厂商已经确认
漏洞来源：
http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签：
无
分享漏洞：
4人收藏 收藏
分享漏洞：
>

漏洞详情

披露状态：

2014-08-26： 细节已通知厂商并且等待厂商处理中
2014-08-26： 厂商已经确认，细节仅向厂商公开
2014-08-29： 细节向第三方安全合作伙伴开放
2014-10-20： 细节向核心白帽子及相关领域专家公开
2014-10-30： 细节向普通白帽子公开
2014-11-09： 细节向实习白帽子公开
2014-11-24： 细节向公众公开

简要描述：

rt

详细说明：

在person/person_certificate.php中

defined('IN_FR') or exit('Access Denied');
@session_start();
$_SESSION["sUploadDir"]="person/";
if($do=='savedata'){
    for($i=1;$i<=5;$i++){
        $filename="filename0".$i;$filename=$$filename;
        $name="name0".$i;$info="info0".$i;
        if ($filename!=''){
            $name=cleartags($$name);$info=cleartags($$info);$flag=$regpArray[3]==1?0:1;
            $db ->query("INSERT INTO {$cfg['tb_pre']}picture (p_filename,p_type,p_status,p_member,p_adddate,p_name,p_flag,p_info) VALUES('$filename',21,1,'$username',NOW(),'$name','$flag','$info')");
        }
    }
	showmsg('证书保存成功，并已附加至简历页面！',"?mpage=person_certificate&show=$show",0,2000);exit();
}elseif($do=='hidden'){
	$db ->query("update {$cfg['tb_pre']}picture set p_status=0 where p_member='$username' and p_id in ($checks)");
	showmsg('取消附加成功，需要附加请选择证书后点击附加至简历！',"?mpage=person_certificate&show=$show",0,2000);exit();
}elseif($do=='show'){
	$db ->query("update {$cfg['tb_pre']}picture set p_status=1 where p_member='$username' and p_id in ($checks)");
	showmsg('设置成功，需要取消附件请选择证书后点击取消附加！',"?mpage=person_certificate&show=$show",0,2000);exit();
}elseif($do=='del'){
    $result=$db ->query("select p_filename from {$cfg['tb_pre']}picture where p_member='$username' and p_id in ($checks)");
    while($row=$db->fetch_array($result)){
	var_dump ($row['p_filename']);exit;
        @unlink($row['p_filename']);
    }


其他位置的$check大部分都进行正则
$checks = preg_replace("/[^0-9,\.-]/i",'',$checks);
但是这里的$check却没有进行正则 且无单引号 所以这里注入了。
因为 frcms内置了一个80sec的ids 但是是可以绕过的。

$result=$db ->query("select p_filename from {$cfg['tb_pre']}picture where p_member='$username' and p_id in ($checks)");
    while($row=$db->fetch_array($result)){
	var_dump ($row['p_filename']);exit;
        @unlink($row['p_filename']);


可以du7i查询出来的进行了unlink 这里我们控制$checks 可以来注入
这样我们查询出来的也可以控制 也就可以了注入 这里我先输出一下$row['p_filename']

f1.jpg


这里我们让查询出来的是robots.txt
就union select robots.txt 但是因为后面的是字符的
所以应该是Union select 'robots.txt' 但是由于frcms全局的转义
所以单引号被转义了 这样是不行的 所以直接hex一次

f2.jpg


f3.jpg


文件成功删除了 但是报错了

$result=$db ->query("select p_filename from {$cfg['tb_pre']}picture where p_member='$username' and p_id in ($checks)");
    while($row=$db->fetch_array($result)){
        @unlink($row['p_filename']);
    }
    $db ->query("delete from {$cfg['tb_pre']}picture where p_member='$username' and p_id in ($checks)");


因为在unlink之后 还有个delete 所以语法出错
但是不用管 因为文件已经删除。
________________________________________________________________________
同理 还有 /member/user_photos.php
/person/person_favorite.php
多处未验证。

漏洞证明：

f3.jpg

修复方案：

全部正则验证。

版权声明：转载请注明来源 ′king@乌云

>

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：5

确认时间：2014-08-26 12:12

厂商回复：

此漏洞在新版本中已修复

最新状态：

暂无