当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-094102

漏洞标题：财经网某站源码泄露及SQL注入(源码审计)

相关厂商：财经网

漏洞作者： Mr .LZH

提交时间：2015-01-27 09:47

修复时间：2015-03-13 09:48

公开时间：2015-03-13 09:48

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-01-27： 细节已通知厂商并且等待厂商处理中
2015-01-30： 厂商已经确认，细节仅向厂商公开
2015-02-09： 细节向核心白帽子及相关领域专家公开
2015-02-19： 细节向普通白帽子公开
2015-03-01： 细节向实习白帽子公开
2015-03-13： 细节向公众公开

简要描述：

财经网某站源码泄露及sql注入（源码审计，thinkphp框架）

详细说明：

上次提交了一个的漏洞（ WooYun: 财经网某处SVN泄露到可被渗透 ）
本来要提交http://tnew.caijing.com.cn/.svn/entries这个网站的泄露问题，却写错成了http://service.caijing.com.cn/.svn/entries
然后那个网站问题修复了，这一次把未提交的写上来，帮助修复。
漏洞一：svn泄露
漏洞地址：http://tnew.caijing.com.cn/.svn/entries
可得到源码。

2.jpg


源码中的敏感信息就不贴上来了，相信有了上次经验，你们也知道危害性。
自评rank：10
漏洞二：sql注入（用了thinkphp框架，居然还可以码出sql注入，这程序员真是天才）
漏洞地址：tnew.caijing.com.cn/Group/glist/gid/2
具体在：tnew.caijing.com.cn/Group/glist/gid/（sql注入参数）
根据漏洞一得到的源码进行审计，发现注入。
GroupModel.class.php文件

public function getuserlist($gid,$page){
          if($page=='')//传过来
            {
                $page = 1;
            }   
            $next = 35; //偏移量
            $page = ($page-1)*$next;
            $sql = "select yh.id,yh.head_img_2,yh.nickname from cj_user_group as zu 
                    left join cj_user as yh on zu.u_id = yh.id 
                    where g_id = {$gid} and zu.is_del = 0 and g_manger = 0 order by zu.create_time desc
                    limit {$page},{$next}";
            //echo $sql;exit;
            return $this->query($sql);
    }


可知$gid参数若未经过滤就存在注入。这里是编写不规范导致的，用好框架的方法，除非框架问题，不然按规范不会出现注入。这里再贴上一处不规范的地方。
UserModel.class.php文件

public function edit($uid,$data) {     
        return M($this->_tableName)->where("id=".$uid)->save($data);
    }
这里where("id=".$uid)应该改为where(array("id"=>$uid))才不会导致安全问题


回归主题，getuserlist函数在GroupAction.class.php文件中调用.

public function glist()
 	{
 		$page = $this->_get('page');;//获取页数
 		
		$gid = $this->_get('gid');
		$acount = $this->artMod->getcount($this->uid);//用户文章数量
		$user = $this->gro->getuserlist($gid,$page);//获取小组成员信息
         ..........


可见gid没有过滤，造成注入。

1.jpg


自评rank：12
2个漏洞叠加。
寒假还在继续挖洞累啊。。。。。

漏洞证明：

修复方案：

版权声明：转载请注明来源 Mr .LZH@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2015-01-30 15:24

厂商回复：

非常感谢白帽子的辛劳，谢谢！

最新状态：

暂无