qibocms多个系统因为补丁而造成的注入

看了看qibo发的补丁, 对我之前发的那个洞发了补丁
之前以为只是补丁没打好 还能绕过。
之前以为只要把之前那一处补补就好了。
可是自从出了这补丁之后 倒导致了很多其他的注入。。
这补丁 。。。。。。。。。。。。。。。。
依旧qibo的大部分的系统都有这个。
就演示一个系统。

http://bbs.qibosoft.com/read-forum-tid-422299-fpage-0-page-1.htm

这里补丁地址

(最后更新于2014-7-28)

附件: 安全补丁.rar (218 K) 下载次数:15597

刚更新的,对我之前发的那个洞有了防御。

来看看怎么修改的。

________________________________________________________________

在inc/common.inc.php中

$_POST=Add_S($_POST); $_GET=Add_S($_GET); $_COOKIE=Add_S($_COOKIE); function Add_S($array){ foreach($array as $key=>$value){ if(!is_array($value)){ $key=str_replace(array("'",'"','\\','&'),'',$key); $value=str_replace("&#x","& # x",$value);//过滤一些不安全字符 $value=preg_replace("/eval/i","eva l",$value);//过滤不安全函数 !get_magic_quotes_gpc() && $value=addslashes($value); $array[$key]=$value; }else{ $array[$key]=Add_S($array[$key]); } } return $array; }

可以看到 这个补丁其实就是在全局的过滤函数中多了一句

$key=str_replace(array("'",'"','\\','&'),'',$key);

看起来好像没问题的样子。 但是实际呢?

这一句代码 不仅不能把 WooYun: qibocms V7 整站系统最新版SQL注入一枚 & 另外一处能引入转义符的地方。 这一处的洞补好

而且还导致了其他的注入漏洞。。。

我们来测试一下qibo的这个过滤函数。

<?php $_GET=Add_S($_GET); var_dump ($_GET); function Add_S($array){ foreach($array as $key=>$value){ if(!is_array($value)){ $key=str_replace(array("'",'"','\\','&'),'',$key); $value=str_replace("&#x","& # x",$value);//过滤一些不安全字符 $value=preg_replace("/eval/i","eva l",$value);//过滤不安全函数 !get_magic_quotes_gpc() && $value=addslashes($value); $array[$key]=$value; }else{ $array[$key]=Add_S($array[$key]); } } return $array; }

依旧用这来看看。

qibocms多个系统因为补丁而造成的注入

array(2) { ["asd'"]=> string(4) "asd'" ["asd"]=> string(5) "asd\'" }

可以看到提交了一个 而数组中有了两个元素

这点我并没有太清楚 问了一下P神说是 因为提交key为asd'

然后被$key=str_replace(array("'",'"','\\','&'),'',$key);后

然后单引号被清空后 就成了asd

第一次循环的时候并没有asd 就创建了一个这个元素 然后数组里面就有了两个元素。

但是原来的那个还在

就有了array(2) { ["asd'"]=> string(4) "asd'" ["asd"]=> string(5) "asd\'" }

其实我还是没太理解, 但是测试就是这样。

- - 数组中的一个key中含单引号 value中含单引号。 另外一个没有。

这里之前注入就是靠的数组里面的key没过滤 能引入单引号 然后来注入

然后出了这个补丁 连数组中的value都能引入单引号了。 导致了新的注入。。

然后找个foreach 数组的 再把value带入到查询中的就能注入了。

value的点可比key的点多一些了。

我随便找几个点来。

1: vote/vote.php中

foreach($voteId AS $key=>$value) { $db->query("UPDATE {$pre}vote_element SET votenum=votenum+1 WHERE id='$value' "); }

这里是把value带入到了查询 没出这个补丁之前 这里是没办法注入的 因为value是会被转义的。

"多亏"了这个补丁 导致了这里的注入。

这里我输出一下数据

qibocms多个系统因为补丁而造成的注入

这里由于我们需要数组中有两个元素 所以数组中的key是需要含一个单引号才行

这样key中的单引号被清空后又创建了另外一个元素 就有两个元素了。

qibocms多个系统因为补丁而造成的注入

成功出数据。

类似的点还有 member/comment.php中

**************/ if($job=='del'){ foreach( $cidDB AS $key=>$value){ $rs=$db->get_one("SELECT aid FROM {$pre}comment WHERE cid='$value'");

不多说了啊。

修复方案:

认真过滤。

分类:默认分类 时间:2015-03-06 人气:2
本文关键词:
分享到:

相关文章

Copyright (C) quwantang.com, All Rights Reserved.

趣玩堂 版权所有 京ICP备15002868号

processed in 0.014 (s). 10 q(s)