当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-071277

漏洞标题：深澜软件漏洞SrunDisk注入漏洞三

相关厂商：srun.com

漏洞作者： xlz0iza1

提交时间：2014-08-06 17:28

修复时间：2014-11-01 17:30

公开时间：2014-11-01 17:30

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-08-06： 细节已通知厂商并且等待厂商处理中
2014-08-11： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2014-10-05： 细节向核心白帽子及相关领域专家公开
2014-10-15： 细节向普通白帽子公开
2014-10-25： 细节向实习白帽子公开
2014-11-01： 细节向公众公开

简要描述：

RT

详细说明：

文件：\userinfo.php

include_once("kernel/eidolon.class.php");
$eidolon=new Eidolon("templets/userinfo.html");
include_once("kernel/member.class.php");
$member=new Member();
if($res=$member->searchByName($_GET["username"],0,""))
{
	foreach($res as $v)
	{
		extract($v,EXTR_OVERWRITE);
	}
}
$eidolon->parseBlock("_main");
$eidolon->showBlock("_main");


$res=$member->searchByName($_GET["username"],0,""))


传递到searchByName中，然后跟中member.class.php文件中

function searchByName($key,$mo,$order)
	{
			$where="";	
			$where.=($this->role_id>0)?" AND role_id=".($this->role_id - 1):"";
			$where.=($this->mg_id>0)? " AND members.mg_id=".$this->mg_id:"";
			if($order!="member_name" && $order !="member_reg_date" && $order != "member_log_date" && $order != "role_id")
			{
				$order="member_id";
			}
			if($key=="")
			{
				$sql= "SELECT * FROM members LEFT JOIN member_groups ON members.mg_id=member_groups.mg_id WHERE 1=1 ".$where." ORDER BY '".$order."' DESC  LIMIT ".$this->getLimit();;
			}			
			else if($mo==1)
			{
					$sql= "SELECT * FROM members LEFT JOIN member_groups ON members.mg_id=member_groups.mg_id WHERE member_name LIKE '%".$key."%' ".$where." ORDER BY '".$order."' DESC  LIMIT ".$this->getLimit();;
			}
			else
			{
					$sql="SELECT * FROM members LEFT JOIN member_groups ON members.mg_id=member_groups.mg_id WHERE member_name='".$key."' ".$where." ORDER BY '".$order."' DESC  LIMIT ".$this->getLimit();
			}//echo $sql;
			return $this->find($sql);
	}


$sql="SELECT * FROM members LEFT JOIN member_groups ON members.mg_id=member_groups.mg_id WHERE member_name='".$key."' ".$where." ORDER BY '".$order."' DESC  LIMIT ".$this->getLimit();


可以看到为经过处理带入到$key函数中直接查询。

漏洞证明：

官网测试站点：http://218.75.75.92/userinfo.php?username=zaizai（注意这里需要登录才能注册）
抓包：

GET /userinfo.php?username=zaizai HTTP/1.1
Host: 218.75.75.92
Proxy-Connection: keep-alive
Cache-Control: max-age=0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
User-Agent: Mozilla/5.0 (Windows NT 5.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/32.0.1700.102 Safari/537.36
Accept-Encoding: gzip,deflate,sdch
Accept-Language: zh-CN,zh;q=0.8
Cookie: PHPSESSID=4dec0dc3125003fc97364110a3e142eb


比较懒啊，直接丢入sqlmap中跑就可以了。

3.jpg


4.jpg


不继续跑了啊。

修复方案：

过滤，过滤~

版权声明：转载请注明来源 xlz0iza1@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-11-01 17:30

厂商回复：

最新状态：

暂无