搜索

[12671] 2018-05-06_代码审计HDWikiv6.0最新版referer注入漏洞

文档创建者：s7ckTeam
浏览次数：49
最后更新：2025-01-18
2018-05-06_代码审计HDWikiv6.0最新版referer注入漏洞 代 码 审 计   |   H D W i k i   v 6 . 0 最 新 版 r e f e r e r 注 入 漏 洞 原 创   d a v i c h i 8 2 8 2   F r e e B u f   2 0 1 8 - 0 5 - 0 6 0 × 0 0 概 述 概 述 近 期 在 审 计 近 期 在 审 计 H D W i k i   6 . 0 最 新 版 最 新 版 c m s 的 时 候 发 现 由 的 时 候 发 现 由 r e f e r e r 导 致 的 导 致 的 s q l 注 入 问 题 。 注 入 问 题 。 S Q L 注 入 我 们 知 道 是 由 于 代 码 与 数 注 入 我 们 知 道 是 由 于 代 码 与 数 据 没 有 严 格 区 别 限 制 分 离 而 导 致 的 问 题 ， 据 没 有 严 格 区 别 限 制 分 离 而 导 致 的 问 题 ， O W A S P   T O P   1 0 常 年 把 常 年 把 S Q L 注 入 放 在 注 入 放 在 T O P   1 的 位 置 ， 可 知 的 位 置 ， 可 知 S Q L 注 入 的 注 入 的 危 害 以 及 影 响 力 是 很 大 的 。 危 害 以 及 影 响 力 是 很 大 的 。 S Q L 注 入 我 们 一 般 平 时 寻 找 的 时 候 习 惯 性 的 只 从 G E T , P O S T 提 交 的 数 据 进 行 测 试 （ 比 如 跑 s q l m a p 的 时 候 ） ， 但 是 其 实 如 果 我 们 仔 细 一 想 注 入 产 生 的 条 件 是 什 么 ， S Q L 注 入 是 客 户 端 提 交 的 数 据 未 严 格 过 滤 限 制 进 入 数 据 库 执 行 而 导 致 的 问 题 ， 只 要 是 与 数 据 库 可 以 交 互 的 地 方 都 可 能 存 在 S Q L 注 入 问 题 ， 这 点 白 盒 审 计 的 时 候 经 常 会 遇 到 ， 比 如 c o o k i e 注 入 ， U s e r - A g e n t 注 入 ， r e f e r e r 注 入 ， X - F o r w a r d e d - F o r 注 入 等 ， 这 些 点 都 是 可 以 与 数 据 库 进 行 交 互 的 ， 如 果 未 作 严 格 限 制 ， 就 会 导 致 注 入 问 题 。 0 × 0 1   白 盒 审 计 白 盒 审 计 源 码 信 息 ： H D w i k i   v 6 . 0 问 题 文 件 ：   h d w i k i c o n t r o l u s e r . p h p 漏 洞 类 型 ： s q l 注 入 站 点 地 址 ： h t t p : / / k a i y u a n . h o o d o n g . c o m / d o w n l o a d / （ 阅 读 原 文 阅 读 原 文 查 看 ） 环 境 ： p h p 版 本 小 于 5 . 4 且 开 启 g p c 具 体 安 装 就 不 讲 了 ， 遇 到 问 题 可 以 百 度 一 下 哈 。 安 装 成 功 之 后 进 入 主 界 面 如 下 ， 可 以 看 到 存 在 登 录 页 面 ， 好 我 们 去 看 下 登 录 部 分 存 不 存 在 问 题 ； 通 过 白 盒 审 计 工 具 s e a y 我 们 找 到 登 录 部 分 为 c o n t r o l / u s e r . p h p
可 以 看 到 d o l o g i n ( ) 函 数 里 a d d _ r e f e r e r ( ) 函 数 ， 继 续 跟 进 此 函 数 ； 在 m o d e l / u s e r . c l a s s . p h p 文 件 里 ， 超 全 局 变 量 $ _ S E R V E R [ ‘ H T T P _ R E F E R E R ’ ] 带 入 数 据 库 而 执 行 ， 也 就 是 r e f e r e r 参 数 ， 但 是 我 们 看 到 前 面 存 在 h a d d s l a s h e s 函 数 ， 是 用 来 过 滤 的 ， 继 续 跟 进 此 函 数 ； 在 l i b / s t r i n g . c l a s s . p h p 文 件 里 此 函 数 确 实 是 过 滤 用 户 输 入 的 ， 当 g p c 未 开 启 的 时 候 使 用 a d d s l a s h e s ( ) 函 数 进 行 过 滤 ， 当 开 启 g p c 的 时 候 直 接 返 回 ， 那 么 问 题 就 来 了 ， 当 p h p 开 启 g p c 的 时 候 直 接 返 回 字 符 串 ， 但 是 g p c 是 只 针 对 _ P O S T , $ _ C O O K I E 三 种 超 全 局 变 量 进 行 过 滤 的 ， 即 r e f e r e r 是 不 受 限 制 的 ， 还 有 g p c 在 p h p 版 本 大 于 等 于 5 . 4 之 后 是 弃 用 的 ， 所 以 当 p h p 版 本 小 于 5 . 4 的 时 候 只 要 p h p 开 启 g p c , r e f e r e r 就 不 受 任 何 过 滤 直 接 带 入 数 据 库 执 行 ， 所 以 就 存 在 注 入 问 题 了 。 0 × 0 2   漏 洞 利 用 漏 洞 利 用 此 处 由 于 没 有 任 何 数 据 的 回 显 只 能 通 过 盲 注 进 行 S Q L 注 入 ， 我 们 使 用 延 时 注 入 ， 我 们 使 用 抓 包 工 具 b u r p s u i t e 抓 取 登 录 界 面 如 下 ； h t t p : / / 1 2 7 . 0 . 0 . 1 / H D W i k i - v 6 . 0 U T F 8 - 2 0 1 7 0 2 0 9 ( 2 ) / h d w i k i / i n d e x . p h p ? u s e r - l o g i n
可 以 看 到 没 有 r e f e r e r 参 数 ， 我 们 手 工 添 加 r e f e r e r 并 且 带 上 p a y l o a d ； 由 于 带 入 数 据 库 的 时 候 是 U P D A T E 语 句 并 且 使 用 W H E R E 语 句 所 以 我 们 不 能 使 用 a n d 需 要 使 用 w h e r e 接 入 p a y l o a d 并 且 使 用 注 释 符 过 滤 后 面 程 序 原 有 的 语 句 ， 最 终 p a y l o a d 为 ； 但 是 刚 开 始 测 试 的 时 候 发 现 延 迟 不 了 ， 后 来 发 现 需 要 登 陆 进 去 ， 可 以 随 便 注 册 一 个 账 号 进 去 。 可 以 看 到 成 功 延 时 注 入 ， 当 管 理 员 账 号 密 码 第 一 位 为 ’ e ’ 的 时 候 延 时 三 秒 返 回 。 0 x 0 3 P O C 用 p y t h o n 完 成 p o c 把 管 理 员 账 号 的 密 码 打 出 来 ； $ t h i s - > d b - > q u e r y ( " U P D A T E   " . D B _ T A B L E P R E . " s e s s i o n   S E T   r e f e r e r   = ' " . s t r i n g : : h a d d s l a s h e s ( $ _ S E R V E R [ ' H T T P _ R E F E R E R ' ] ) . " '   W H E R E   s i d = ' " . b a s e : : h g e t c o o k i e ( ' s i d ' ) . " ' " ) ; r e f e r e r : '   w h e r e   i f ( ( s u b s t r ( ( s e l e c t   p a s s w o r d   f r o m   w i k i _ u s e r   w h e r e   u s e r n a m e = ' a d m i n ' ) , 1 , 1 ) ) = ' e ' , s l e e p ( 3 ) , 0 ) #
测 试 结 果 如 下 ； 成 功 打 出 a d m i n 的 密 码 信 息 了 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： d a v i c h i 8 2 8 2 ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理