当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-061167

漏洞标题：qibocms黄页SQL注入漏洞一枚

相关厂商：齐博CMS

漏洞作者： ′雨。

提交时间：2014-05-19 19:40

修复时间：2014-08-17 19:42

公开时间：2014-08-17 19:42

漏洞类型：SQL注射漏洞

危害等级：中

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-05-19： 细节已通知厂商并且等待厂商处理中
2014-05-20： 厂商已经确认，细节仅向厂商公开
2014-05-23： 细节向第三方安全合作伙伴开放
2014-07-14： 细节向核心白帽子及相关领域专家公开
2014-07-24： 细节向普通白帽子公开
2014-08-03： 细节向实习白帽子公开
2014-08-17： 细节向公众公开

简要描述：

刚从官网首页上面下载的。
比较苦逼。 首页上好像没更新文件?
本来还以为可以直接提升自己为管理的, 不过测试测试 蛋疼的多行 让我放弃了
老老实实来注入把。。

详细说明：

在hy/member/homepage_ctrl/contracrus.php中

@extract($_POST);
	
	if($qy_contact_email&&!ereg("^[-a-zA-Z0-9_\.]+\@([0-9A-Za-z][0-9A-Za-z-]+\.)+[A-Za-z]{2,5}$",$qy_contact_email)){
		showerr('邮箱不符合规则');
	}
	elseif($qy_website&&!eregi("^http:",$qy_website)){
		showerr('网址有误,必须是http://开头');
	}elseif($qy_postnum&&!eregi("^([0-9]{6})$",$qy_postnum)){
		showerr('邮政编码有误');
	}elseif($qy_contact_mobile&&!eregi("^1([0-9]{10})$",$qy_contact_mobile)){
		showerr('手机号码有误');
	}elseif($qq&&!eregi("^([0-9]{5,11})$",$qq)){
		showerr('QQ号码有误');
	}elseif($msn&&!ereg("^[-a-zA-Z0-9_\.]+\@([0-9A-Za-z][0-9A-Za-z-]+\.)+[A-Za-z]{2,5}$",$msn)){
		showerr('msn不符合规则');
	}
	$db->query("UPDATE `{$_pre}company` SET
	`qy_contact`='$qy_contact',
	`qy_contact_zhiwei`='$qy_contact_zhiwei',
	`qy_contact_tel`='$qy_contact_tel',
	`qy_contact_fax`='$qy_contact_fax',
	`qy_contact_mobile`='$qy_contact_mobile',
	`qy_website`='$qy_website',
	`qy_contact_email`='$qy_contact_email',
	`qy_postnum`='$qy_postnum',
	`qy_address`='$qy_address',
	`qq`='$qq',
	`msn`='$msn',
	`skype`='$skype',
	`ww`='$ww',
	`city_id`='{$city_id}',
	`gg_maps`='$gg_maps'
	WHERE uid='$uid'");


这里@extract($_POST); 变量覆盖。
一开始想的是把update的这表前缀给覆盖了。
然后update qb_memberdata 给自己提升为管理。
但是这可恶的多行。 # -- 只能做单行注释
`qy_contact`='$qy_contact',
`qy_contact_zhiwei`='$qy_contact_zhiwei',
没办法注释掉这下面的这些, 用/*的话 我测试了必须还在最后加上*/。。。
用换行也失败了。。
看来只有老老实实来注入了。
UPDATE `qibo_hy_company` SET
`qy_contact`='',
`qy_contact_zhiwei`='',
`qy_contact_tel`='',
因为无法注释掉后面的 所以只有想办法来补全语句来注入
但是因为后面的这个set qy_contact 只是在表company里面才有
所以还是得让$_pre为这个表。
语句大概为这样的。 首先覆盖掉$_pre 让其为qibo_hy_company
此时之星的语句为
UPDATE `qibo_hy_company_company` SET
`qy_contact`='',
`qy_contact_zhiwei`='',
`qy_contact_tel`='',
然后先闭合第一个反引号 然后单行注释掉_company` SET
UPDATE `qibo_hy_company`#_company` SET
`qy_contact`='',
最后自己补一个。UPDATE `qibo_hy_company` SET qy_contact=xx#_company` SET
`qy_contact`='',
可以注入了。

漏洞证明：

q1.jpg

修复方案：

check

版权声明：转载请注明来源 ′雨。@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：7

确认时间：2014-05-20 11:06

厂商回复：

老问题来的，个别程序遗漏了更新。

最新状态：

暂无