搜索

[12989] 2018-07-27_Hongcms3.0.0后台SQL注入漏洞分析

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2018-07-27_Hongcms3.0.0后台SQL注入漏洞分析 H o n g c m s   3 . 0 . 0 后 台 S Q L 注 入 漏 洞 分 析 B l a c k W a t e r   F r e e B u f   2 0 1 8 - 0 7 - 2 7 *   本 文 作 者 ： B l a c k W a t e r ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 一 、 背 景 介 绍 一 、 背 景 介 绍 H o n g C M S 是 一 个 轻 量 级 的 中 英 文 企 业 网 站 系 统 ， 访 问 速 度 极 快 ， 使 用 简 单 ， 程 序 代 码 简 洁 严 谨 ， 功 能 强 大 ， 是 一 个 轻 量 级 的 中 英 文 企 业 网 站 系 统 ， 访 问 速 度 极 快 ， 使 用 简 单 ， 程 序 代 码 简 洁 严 谨 ， 功 能 强 大 ， 完 全 免 费 开 源 ， 可 用 于 建 设 各 种 类 型 的 中 英 文 网 站 ， 同 时 它 是 一 个 小 型 开 发 框 架 。 完 全 免 费 开 源 ， 可 用 于 建 设 各 种 类 型 的 中 英 文 网 站 ， 同 时 它 是 一 个 小 型 开 发 框 架 。 二 、 漏 洞 描 述 二 、 漏 洞 描 述 程 序 在 后 台 进 行 清 空 数 据 库 操 作 时 对 传 入 的 数 据 库 名 过 滤 不 严 格 ， 可 插 入 和 执 行 恶 意 s q l 语 句 。 三 、 影 响 版 本 三 、 影 响 版 本 H o n g c m s   <   3 . 0 . 0 四 、 漏 洞 细 节 四 、 漏 洞 细 节 首 先 ， 我 们 登 录 到 网 站 后 台 管 理 定 位 到 系 统 - → 数 据 库 维 护 。 系 统 默 认 情 况 下 只 允 许 我 们 对 s e s s i o n s 和 v v c 数 据 表 进 行 清 空 操 作 ， 我 们 随 机 选 择 一 个 ， 此 处 我 使 用 v v c 表 来 进 行 分 析 ， 随 后 我 们 点 击 清 空 按 钮 并 结 合 p h p s t o r m 对 执 行 流 程 进 行 动 态 调 试 。 为 了 方 便 大 家 能 清 楚 地 看 清 执 行 过 程 ， 笔 者 已 经 在 关 键 的 函 数 位 置 设 置 了 断 点 。 首 先 程 序 在 A P P . p h p 第 1 7 0 行 使 用 c a l l _ u s e r _ f u n c 函 数 对 接 受 的 参 数 进 行 动 态 函 数 回 调 ： 跟 进 o p e r a t e ：
将 数 据 表 名 称 传 递 给 F o r c e S t r i n g F r o m 函 数 ， 继 续 跟 进 F o r c e S t r i n g F r o m ： F o r c e S t r i n g F o r m 通 过 $ _ G E T [ $ V a r i a b l e N a m e ] 获 取 我 们 传 递 的 t a b l e n a m e 参 数 值 并 传 递 给 了 F o r c e S t r i n g ， 跟 进 F o r c e S t r i n g F o r c e S t r i n g 判 断 I n v a l u e 是 否 为 字 符 串 之 后 随 即 将 值 传 递 给 给 E s c a p e S q l ， 函 数 进 行 安 全 过 滤 ， 继 续 跟 进 。 首 先 函 数 判 断 了 g p c 是 否 开 启 ， 如 果 开 启 则 使 用 s t r i p s l a s h e s 进 行 过 滤 ， 否 则 将 使 用 h t m l s p e c i a l c h a r s 并 对 0 和 空 格 字 符 进 行 了 替 换 ， 随 后 判 断 m y s q l _ r e a l _ e s c a p e _ s t r i n g 或 m y s q l _ e s c a p e _ s t r i n g 函 数 是 否 存 在 ， 并 调 用 相 应 的 函 数 进 行 编 码 ， 否 则 使 用 a d d s l a s h e s 。 随 后 程 序 进 入 s w i t c h 语 句 进 行 动 作 匹 配 ， 根 据 不 同 的 a c t i o n 参 数 值 进 行 相 应 的 操 作 。
我 们 定 位 到 e m p t y t a b l e ， 程 序 将 t a b l e n a m e 值 传 入 了 E m p t y T a b l e 函 数 。 跟 进 E m p t y T a b l e 。 在 这 里 我 们 看 到 定 义 了 要 执 行 的 s q l 语 句 ， 并 将 其 传 入 了 e x e 函 数 ， 跟 进 e x e 。
E x e 接 收 了 传 递 的 s q l 语 句 后 随 即 进 行 了 执 行 ， 并 返 回 执 行 结 果 。 最 后 调 用 P r i n t R e s u l t s 将 结 果 打 印 到 后 台 显 示 ， 我 们 可 以 看 到 在 整 个 执 行 过 程 中 程 序 仅 仅 使 用 了 内 置 的 函 数 和 简 单 的 替 换 函 数 对 传 入 的 参 数 值 进 行 了 安 全 处 理 ， 而 这 些 函 数 是 可 以 被 绕 过 的 。 五 、 漏 洞 复 现 五 、 漏 洞 复 现 经 过 上 一 节 的 分 析 ， 下 面 我 们 就 要 着 手 构 造 我 们 的 s q l 语 句 ， 同 样 我 们 定 位 到 数 据 表 操 作 的 页 面 点 击 要 清 空 的 数 据 表 ， 随 后 我 们 用 b u r p 截 断 来 修 改 我 们 的 数 据 表 名 称 来 注 入 我 们 构 造 的 s q l 语 句 。 此 处 我 们 将 数 据 表 名 称 改 为 同 样 我 们 来 跟 踪 我 们 传 入 的 参 数 值 ： w h e r e   v v c i d = 1   o r u p d a t e x m l ( 2 , c o n c a t ( 0 x 7 e , ( v e r s i o n ( ) ) ) , 0 )   o r
可 以 看 到 我 们 成 功 的 绕 过 了 程 序 的 安 全 防 护 并 正 确 的 进 行 了 返 回 ， 我 们 继 续 往 下 走 看 看 最 终 的 要 执 行 的 s q l 语 句 ， 是 否 是 我 们 想 要 的 结 果 。 看 到 执 行 的 s q l 语 句 和 我 们 预 想 的 一 样 ， 我 们 返 回 后 台 页 面 看 看 执 行 的 结 果 ： 可 以 看 到 当 前 使 用 的 数 据 库 版 本 已 经 被 查 询 了 出 来 。 六 、 修 补 措 施 六 、 修 补 措 施 系 统 已 停 止 维 护 ， 可 以 考 虑 自 行 安 装 W A F 进 行 防 护 。 *   本 文 作 者 ： B l a c k W a t e r ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理