搜索

[18219] 2020-12-01_米酷cms代审记录

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-12-01_米酷cms代审记录 米 酷 c m s 代 审 记 录 s p i d e r   H A C K 之 道   2 0 2 0 - 1 2 - 0 1 一 、 前 言 一 、 前 言 米 酷 c m s 是 一 套 用 户 视 频 搭 建 的 c m s ， 源 码 中 存 在 大 量 s q l 注 入 ， 选 了 两 处 进 行 记 录 其 余 过 程 原 理 和 过 程 都 一 样 就 不 记 录 了 。 二 、 注 册 处 二 、 注 册 处 S Q L 注 入 注 入 漏 洞 位 置 ： u c e n t e r r e g . p h p ， 第 1 ~ 1 8 行 。 系 统 在 中 对 和 等 使 用 a d d s l a s h e s ( ) 函 数 进 行 了 全 局 过 滤 ， 如 下 所 示 ： 而 在 文 件 中 接 受 前 端 传 入 的 参 数 后 使 用 s y s t e m l i b r a r y . p h p $ _ G E T $ _ P O S T u c e n t e r r e g . p h p u s e r n a m e s t r i p s l a s h e s ( )
函 数 去 除 了 反 斜 杠 ， 然 后 拼 接 进 入 数 据 库 查 询 操 作 造 成 s q l 注 入 如 下 所 示 ： 漏 洞 复 现 ： 首 先 注 册 一 个 正 常 用 户 ， 然 后 在 进 行 注 册 抓 取 相 应 的 注 册 数 据 添 加 单 引 号 ， 按 照 代 码 执 行 逻 辑 ， s q l 语 句 单 引 号 未 闭 合 导 致 s q l 语 句 执 行 出 错 返 回 为 n u l l ， 代 码 判 断 即 为 用 户 名 不 存 在 ， 进 入 下 一 步 判 断 邮 箱 是 否 存 在 。 故 利 用 此 来 进 行 注 入 如 下 所 示 ： k o b e 为 注 册 存 在 的 用 户 名 ， 使 用 a n d 永 真 条 件 判 断 s q l 查 询 返 回 用 户 数 据 ， 故 显 示 用 户 名 存 在 ： 使 用 a n d 永 假 条 件 s q l 查 询 无 数 据 返 回 ， 判 断 用 户 不 存 在 进 行 下 一 步 邮 箱 判 断 如 下 所 示 ：
三 、 基 于 时 间 的 三 、 基 于 时 间 的 s q l 盲 注 盲 注 漏 洞 位 置 ： 第 1 - 2 3 行 ， 漏 洞 参 数 漏 洞 代 码 如 下 所 示 ： a d m i n m o d e l a d m i n _ e d i t . p h p i d
< ? p h p i f   ( i s s e t ( $ _ P O S T [ ' s a v e ' ] ) )   {         n u l l _ b a c k ( $ _ P O S T [ ' a _ n a m e ' ] ,   ' 请 填 写 登 录 账 号 ' ) ;         n u l l _ b a c k ( $ _ P O S T [ ' a _ p a s s w o r d ' ] ,   ' 请 填 写 登 录 密 码 ' ) ;         n u l l _ b a c k ( $ _ P O S T [ ' a _ c p a s s w o r d ' ] ,   ' 请 重 复 输 入 登 录 密 码 ' ) ;         i f   ( $ _ P O S T [ ' a _ p a s s w o r d ' ]   ! =   $ _ P O S T [ ' a _ c p a s s w o r d ' ] )   {                 a l e r t _ b a c k ( ' 两 次 输 入 的 密 码 不 一 致 ' ) ;         }         $ r e s u l t   =   m y s q l i _ q u e r y ( $ c o n n , ' s e l e c t   *   f r o m   m k c m s _ m a n a g e r   w h e r e   m _ n a m e   =   " '   .   $ _ P O S T [ ' a _ n a m e ' ]   .   ' "   a n d   m _ i d   < >   '   .   $ _ G E T [ ' i d ' ]   .   ' ' ) ;         i f   ( m y s q l i _ f e t c h _ a r r a y ( $ r e s u l t ) )   {                 a l e r t _ b a c k ( ' 登 录 账 号 重 复 ， 请 更 换 登 录 账 号 。 ' ) ;         }         $ _ d a t a [ ' m _ n a m e ' ]   =   $ _ P O S T [ ' a _ n a m e ' ] ;         $ _ d a t a [ ' m _ p a s s w o r d ' ]   =   m d 5 ( $ _ P O S T [ ' a _ p a s s w o r d ' ] ) ;         $ s q l   =   ' u p d a t e   m k c m s _ m a n a g e r   s e t   '   .   a r r t o u p d a t e ( $ _ d a t a )   .   '   w h e r e   m _ i d   =   '   .   $ _ G E T [ ' i d ' ]   .   ' ' ;         i f   ( m y s q l i _ q u e r y ( $ c o n n , $ s q l ) )   {                 a l e r t _ h r e f ( ' 管 理 员 修 改 成 功 ! ' ,   ' c m s _ a d m i n . p h p ' ) ;         }   e l s e   {                 a l e r t _ b a c k ( ' 修 改 失 败 ! ' ) ;         } } 上 述 代 码 直 接 将 前 端 传 入 的 参 数 拼 接 入 s q l 语 句 中 造 成 s q l 注 入 ， 此 处 无 任 何 差 异 回 显 ， 可 以 使 用 基 于 时 间 的 盲 注 进 行 ， 如 下 所 示 构 造 P O C 当 发 送 p a y l o a d 中 i f 判 断 条 件 为 真 时 i f 函 数 值 为 1 ， 响 应 时 间 为 几 毫 秒 如 下 所 示 ： i d / a d m i n / c m s _ a d m i n _ e d i t . p h p ? i d = 3 + a n d + i f ( 1 = 2 , 1 , s l e e p ( 2 ) )
当 发 送 p a y l o a d 中 i f 条 件 为 假 时 ， s l e e p ( 2 ) , 响 应 时 间 大 于 4 秒 ( 有 两 个 s q l 语 句 执 行 ) 如 下 所 示 ： 之 后 还 有 很 多 文 件 都 有 注 入 就 不 记 录 了 ， 相 冲 c n v d 的 老 哥 可 以 自 己 去 看 看 。 作 者 ： s p i d e r ， 文 章 来 源 ： 先 知 社 区 关 注 公 众 号 关 注 公 众 号 : H A C K 之 道 之 道
如 文 章 对 你 有 帮 助 ， 请 支 持 点 下 “ 赞 ” “ 在 看 ” 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理