漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-077466
漏洞标题：ROCBOSS微社区V1.1版本SQL注入漏洞
相关厂商：rocboss.com
漏洞作者： linadmin
提交时间：2014-11-20 18:25
修复时间：2015-02-18 18:26
公开时间：2015-02-18 18:26
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：20
漏洞状态：厂商已经修复
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-11-20： 细节已通知厂商并且等待厂商处理中
2014-11-20： 厂商已经确认，细节仅向厂商公开
2015-01-14： 细节向核心白帽子及相关领域专家公开
2015-01-24： 细节向普通白帽子公开
2015-02-03： 细节向实习白帽子公开
2015-02-18： 厂商已经修复漏洞并主动公开，细节向公众公开
简要描述：
ROCBOSS微社区V1.1版本SQL注入漏洞，泄露数据库
详细说明：
ROCBOSS微社区 V1.1 正式版存在一个SQL注入漏洞：
漏洞文件：
\module\user.module.class.php
第11行代码：
$userInfo=Common::getMemberInfo($this->db,is_numeric($userId) ? 'uid' : 'nickname', $userId);
这一行代码进行了数据库查询，关键之处在$userId这个变量上
向上回溯到第10行代码：
$userId=(isset($_GET['id']) && trim($_GET['id']) != '') ? $_GET['id'] : $this->loginInfo['uid'];
当$_GET[‘id’]被赋值的时候这个参数就能控制了，而且没有进行过滤。
再到数据库执行的地方查看一下
public static function getMemberInfo($DB, $key, $value)
{
$memberArray = array(
"uid" => 0,
"nickname" => "",
"email" => "",
"password" => "",
"regtime" => "",
"qqid" => "",
"groupid" => 0
);
$DBArray = $DB->selectOneArray("SELECT * FROM `" . PRE . "user` WHERE `" . $key . "`='" . $value . "'");
传进去是第三个参数Value在没有开GPC的情况下可以引入污点数据，进行注入。
验证一下
首先需要注册一个用户
登陆后访问
http://192.168.45.131/rocboss/?m=user&w=index&id=1
存在注入的参数就是id
可以进行union 和盲注注入
使用sqlmap进行验证：
分析的没有问题
google: powered by rocboss v1.1 网站过百没有问题。。
漏洞证明：
http://www.chinaful.cn/?m=user&w=index&id=1'
http://x213.com/?m=user&w=index&id=1'
http://80fd.com/?m=user&w=index&id=1'
http://demo.x4code.com/?m=user&w=index&id=1'
http://fs.net-diy.com/?m=user&w=index&id=1'
。。。
都已经搞定，没有问题。
已经拿下好多站了，仅作验证。。
修复方案：
intval
版权声明：转载请注明来源 linadmin@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：5
确认时间：2014-11-20 18:33
厂商回复：
感谢提醒此BUG，发出去的V1.1中的版本中确实存在此问题，之前已有网友提出，目前已经修复，现在1.1的版本已经停止维护了，正在开发2.0
最新状态：
2014-11-20：之前如有从站长之家等非官网下载的用户，请转到 https://www.rocboss.com/say-813.html 查看修复方法