当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-056822

漏洞标题：phpdisk V7 sql注入2

相关厂商：phpdisk.com

漏洞作者： ′雨。

提交时间：2014-04-13 18:10

修复时间：2014-07-09 18:11

公开时间：2014-07-09 18:11

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-04-13： 细节已通知厂商并且等待厂商处理中
2014-04-18： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2014-06-12： 细节向核心白帽子及相关领域专家公开
2014-06-22： 细节向普通白帽子公开
2014-07-02： 细节向实习白帽子公开
2014-07-09： 细节向公众公开

简要描述：

周末回家,挖洞玩玩。
刚从官网上面下载的。
过滤不严。

详细说明：

在ajax.php中

case 'uploadCloud':
		$folder_id = (int)gpc('folder_id','P',0);
		$folder_id = $folder_id ? $folder_id : -1;
		$data = trim(gpc('data','P',''));
		$is_checked = $is_public ? ($settings['check_public_file'] ? 0 :1) : 1;
		if($settings['all_file_share']){
			$in_share = 1;
		}else{
			$in_share = (int)@$db->result_first("select in_share from {$tpf}folders where userid='$pd_uid' and folder_id='$folder_id'");
		}
		if($data){
			$file_key = random(8);
			if(strpos($data,',')!==false){
				$add_sql = $msg = '';
				$arr = explode(',',$data);
				for($i=0;$i<count($arr)-1;$i++){
					$file = unserialize(base64_decode($arr[$i]));
					//print_r($file);
					//exit;
					$report_status =0;
					$report_arr = explode(',',$settings['report_word']);
					if(count($report_arr)){
						foreach($report_arr as $value){
							if (strpos($file['file_name'],$value) !== false){
								$report_status = 2;
							}
						}
					}
					$num = @$db->result_first("select count(*) from {$tpf}files where yun_fid='{$file[file_id]}' and userid='$pd_uid'");
					if($num && $file[file_id]){
						$tmp_ext = $file[file_extension] ? '.'.$file[file_extension] : '';
						$msg .=	$file[file_name].$tmp_ext.',';
					}else{
						$add_sql .= "($file[file_id],'$file[file_name]','$file_key','$file[file_extension]','application/octet-stream','$file[file_description]','$file[file_size]','$timestamp','$is_checked','$in_share','$report_status','$pd_uid','$folder_id','$onlineip'),";
					}
				}
				if($add_sql){
					$add_sql = is_utf8() ? $add_sql : iconv('utf-8','gbk',$add_sql);
					$add_sql = substr($add_sql,0,-1);
					$db->query_unbuffered("insert into {$tpf}files(yun_fid,file_name,file_key,file_extension,file_mime,file_description,file_size,file_time,is_checked,in_share,report_status,userid,folder_id,ip) values $add_sql ;");
				}
			}else{
				$file = unserialize(base64_decode($data));
				//write_file(PHPDISK_ROOT.'system/ax.txt',var_export($file,true),'ab');
				//print_r($file);
				//exit;
				$num = @$db->result_first("select count(*) from {$tpf}files where yun_fid='{$file[file_id]}' and userid='$pd_uid'");


来利用下面的这个else里面的来注入把。

lse{
				$file = unserialize(base64_decode($data));
				//write_file(PHPDISK_ROOT.'system/ax.txt',var_export($file,true),'ab');
				//print_r($file);
				//exit;
				$num = @$db->result_first("select count(*) from {$tpf}files where yun_fid='{$file[file_id]}' and userid='$pd_uid'");


在这里 $data = trim(gpc('data','P','')); data是我们可控的。
虽然全局转义 但是在这里会对他进行一次解码
然后对他先解码一次 然后再反序列一次。
$file[file_id]
然后将这个就带入了查询当中、
Come and sql it。

漏洞证明：

首先在本地对语句进行序列化 然后再encode一次 得到
YToxOntzOjc6ImZpbGVfaWQiO3M6MTk6ImFhJyBVTklPTiBTRUxFQ1QgMSMiO30=
这里我直接把语句输出来把。

$file = unserialize(base64_decode($data));
				//write_file(PHPDISK_ROOT.'system/ax.txt',var_export($file,true),'ab');
				//print_r($file);
				//exit;
				$sql="select count(*) from {$tpf}files where yun_fid='{$file[file_id]}' and userid='$pd_uid'";
				echo $sql;exit;
				$num = @$db->result_first("select count(*) from {$tpf}files where yun_fid='{$file[file_id]}' and userid='$pd_uid'");


然后提交 得到。

p2.jpg


看这语句。 不用多说了把。

修复方案：

过滤it.

版权声明：转载请注明来源 ′雨。@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-07-09 18:11

厂商回复：

最新状态：

暂无