当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-059195

漏洞标题：Tccms V8 Sql Injection

相关厂商：teamcen.com

漏洞作者： ′雨。

提交时间：2014-05-02 19:14

修复时间：2014-07-28 19:16

公开时间：2014-07-28 19:16

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-05-02： 细节已通知厂商并且等待厂商处理中
2014-05-07： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2014-07-01： 细节向核心白帽子及相关领域专家公开
2014-07-11： 细节向普通白帽子公开
2014-07-21： 细节向实习白帽子公开
2014-07-28： 细节向公众公开

简要描述：

过滤不严。

详细说明：

在app\controller\picture.class.php中

public function delete() {
	
		$this->userIsLogin ();
        $_Obj = M($this->objName);
		
        $msgObj = new Msg();
        $id = $_GET['id'];
        $idAry = $_POST['id'];
	
        $idStr = count($idAry) == 0 ? intval($id) : implode(",", $idAry);
		
        $newIdAry = explode(",", $idStr);
		
        $idSize = count($newIdAry);
        if (empty($newIdAry[0]) && empty($id)) {
            $msgObj->addMsg('error', Config::lang("PLEASECHOOSEDELETEDATA"));
        }
        for ($i = 0; $i < $idSize; $i++) {
        	$newsObj = get("picture",$newIdAry[$i]);
			
            if (Authen::checkIsSelfData($newsObj->uid)) {
                $_Obj->deleteById($newIdAry[$i]);
            } else {
                $msgObj->addMsg('error', Config::lang("CANBEDELNOTSELFNEWS"));
            }
        }


$idAry = $_POST['id']; 可以看到都没有intval 这里用逗号切割

if (Authen::checkIsSelfData($newsObj->uid)) {
                $_Obj->deleteById($newIdAry[$i]);
            }


要满足这个。

public static function checkIsSelfData($uid) {
    	if (self::isAdmin()) {return true;}
		
    	if ($uid == $_COOKIE['userId'] && self::checkUserLogin()) {return true;}
    	return false;javascript:void(0)
    }


首先我们要自己去注册一个号 然后发表一个图片。
然后切割后就带入了查询。

漏洞证明：

t2.jpg


t3.jpg


发现执行的语句又有切割了后执行的 又有没切割的执行的。
没切割的就能来盲注了。

修复方案：

intval

版权声明：转载请注明来源 ′雨。@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-07-28 19:16

厂商回复：

最新状态：

2014-07-22：FIXED