[代码审计]DM企业建站系统v201710 sql注入漏洞分析 | 新版v201712依旧存在sql注入
0x00 前言
本来呢,这套CMS都不想审的了。下载下来打开一看,各种debug注释,排版烂的不行。
贴几个页面看看
感觉像是新手练手的,没有审下去的欲望了。
但想了想,我tm就是新手啊,然后就继续看了下去。
随便点了一下seay工具自动审出来的几个关键点。发现有注入,既然有注入,就好好看看了。
phpstorm,seay源代码审计,本地demo搭起来~
看完之后,想写篇文章总结一下,标题都写好了:
DM企业建站系统v201710 存在sql注入
可能是因为代码格式不想写了,又或者其他原因
。。。
不知多少分钟之后,无意在cnvd上看到有人提交了这个系统的相关报告,而且还是两个?!
这才下定决心想捋一捋这个系统。
0x01 CNVD 的报告和厂商的补丁
先看看 CNVD 上的报告是怎么写的吧?
报送时间 10-23 号,挺早的呀。。。
get 到一个点,后台登录处存在sql注入~
在看看另外一份怎么写的?
哎呀,24 号,你两真有缘。
这份报告应该是系统的审了,发现了多个参数。怕是日穿了,厂商也出了补丁。
最新版是 12.1 号的。
0x03 新旧版本对比
因为我之前已经看过了旧版本的代码,也知道旧版本多参数存在注入的问题所在。
旧版本的参数过滤都是使用了这么个函数
这个函数是作者自定义的,跟进去
global.common.php
会发现用的是 htmlentities来过滤,注意函数后面第二个参数用得是 ENT_NOQUOTES。这意味着什么呢?
用函数 htmlentitiesdm 过滤的都是只将<,>编码为实体字符而已。而单双引号完美被忽视了。
那么这个过滤有何意义啊?或许作者是想着来防xss的?!
也就是说用这个函数过滤的输入,只要带到数据库前没有做过滤的都是存在注入的。。
比如CNVD第一份报告说的,后台登陆存在注入??
看到代码login.php
只是用 htmlentitiesdm 过滤了一下就不再过滤了,直接带进数据库,注入杠杠的。
还有第二份报告所说的多个参数注入,怕就是用了这个函数进行过滤的各个参数吧,这里就不再一一去找了。
让我们把目光放到新版本上。
打开神器beyond compare,加载新旧两个版本。
会发现做了很多更改。
我们单刀直入直接看看 global.common.php,看看函数 htmlentitiesdm 有没有做修改?
会发现从 ENT_NOQUOTES 变成了 ENT_QUOTES。
也就是从不编码任何引号变成了编码所有引号。
也就是说这一改变把CNVD上面的两个洞都修复了。
login.php 后台登陆注入的
以及其他的输入参数,都是换成了用 htmlentitdm 来过滤了。
不一一举例。
0x04 新版依旧存在sql注入
在对比完新旧版本之后,我就开始笑了。因为我找的几个sql注入漏洞,都没有修复。
哈哈,我也有手握0day的时候了!
1,常见的getip()函数过滤不全或者没有过滤,导致sql注入
先看旧版的 global.common.php , 很明显没有任何过滤
看看哪里用了这个函数?在前台找到两个地方
其中 file_formpost_concat 是用来留言的,file_order_post.php是用来下单的。‘
在我测试发现,只有留言这个功能可以用。
看代码,旧版是content和tokenhour参数都有注入的
新版的过滤掉了。
但获取ip这里是没有变的。
那么这里是可以拿到一个布尔类型的注入。(因为这里没有回现位)
直接 sqlmap 跑了
2,后台认证判断存在注入,可直接绕过登陆
看最新版本后台认证处 admindm-yourname/config-a/common.inc2010.php
左新右旧,可以看到是没有什么改变的。
而我们仔细分析一下这段代码:
因为这里的cookie是可控的,我们可以直接进行注入,甚至不用注出密码,直接进行绕过登陆了。
我们分析代码,可以得出这样的结论。
为什么userps 也是可控的呢?因为这里存在注入啊。
通过注入,我们可以让返回的密码为我们自己输入的。
那么就可以直接构造cookie,以管理员的身份登陆进去了。
比如,我们用ps 为1 ,id 为 注入语句的cookie。
根据公式
usercookiecompare = userid-md5(userps,cookiesecet)
先构造md5部分:
那么我们的usercookie就是
7' and 1=2 union select null,null,null,null,null,1,null,null,null,null,null,null,null #-7b0bbade54ef65e2a830c034d0d14e61
把三个cookie搬上,访问一下/admindm-yourname/mod_common/index-welcome.php?lang=cn 便可直接进入后台
时间原因,就不再看其他问题了。
肯定还有其他很多问题,代码这么乱,出错的几率也增高了不少。
0x05 总结
总的来说,这是一套比较简单的cms,适合我们这种新手。
不知道为什么这么简单的CMS,还可以刷CNVD,CNVD真的这么简单吗?!
[代码审计]DM企业建站系统v201710 sql注入漏洞分析 | 新版v201712依旧存在sql注入的更多相关文章
- DM企业建站系统v201710 sql注入漏洞分析 | 新版v201712依旧存在sql注入
0x00 前言 本来呢,这套CMS都不想审的了.下载下来打开一看,各种debug注释,排版烂的不行. 贴几个页面看看 感觉像是新手练手的,没有审下去的欲望了. 但想了想,我tm就是新手啊,然后就继续看 ...
- PHPCMS \phpcms\modules\member\index.php 用户登陆SQL注入漏洞分析
catalog . 漏洞描述 . 漏洞触发条件 . 漏洞影响范围 . 漏洞代码分析 . 防御方法 . 攻防思考 1. 漏洞描述2. 漏洞触发条件 0x1: POC http://localhost/p ...
- Beescms_v4.0 sql注入漏洞分析
Beescms_v4.0 sql注入漏洞分析 一.漏洞描述 Beescms v4.0由于后台登录验证码设计缺陷以及代码防护缺陷导致存在bypass全局防护的SQL注入. 二.漏洞环境搭建 1.官方下载 ...
- SpringBoot SpEL表达式注入漏洞-分析与复现
目录 0x00前言 0x01触发原因 0x02调试分析 0x03补丁分析 0x04参考文章 影响版本: 1.1.0-1.1.12 1.2.0-1.2.7 1.3.0 修复方案:升至1.3.1或以上版本 ...
- 【代码审计】大米CMS_V5.5.3 SQL注入漏洞分析
0x00 环境准备 大米CMS官网:http://www.damicms.com 网站源码版本:大米CMS_V5.5.3试用版(更新时间:2017-04-15) 程序源码下载:http://www ...
- 【代码审计】五指CMS_v4.1.0 copyfrom.php 页面存在SQL注入漏洞分析
0x00 环境准备 五指CMS官网:https://www.wuzhicms.com/ 网站源码版本:五指CMS v4.1.0 UTF-8 开源版 程序源码下载:https://www.wuzhi ...
- 【代码审计】五指CMS_v4.1.0 后台存在SQL注入漏洞分析
0x00 环境准备 五指CMS官网:https://www.wuzhicms.com/ 网站源码版本:五指CMS v4.1.0 UTF-8 开源版 程序源码下载:https://www.wuzhi ...
- 【代码审计】iZhanCMS_v2.1 前台IndexController.php页面存在SQL注入 漏洞分析
0x00 环境准备 iZhanCMS官网:http://www.izhancms.com 网站源码版本:爱站CMS(zend6.0) V2.1 程序源码下载:http://www.izhancms ...
- 【代码审计】iZhanCMS_v2.1 前台GoodsController.php页面存在SQL注入漏洞分析
0x00 环境准备 iZhanCMS官网:http://www.izhancms.com 网站源码版本:爱站CMS(zend6.0) V2.1 程序源码下载:http://www.izhancms ...
随机推荐
- [OI]省选前模板整理
省选前把板子整理一遍,如果发现有脑抽写错的情况,欢迎各位神犇打脸 :) 数学知识 数论: //组合数 //C(n,m) 在n个数中选m个的方案数 ll C[N][N]; void get_C(int ...
- JS比较两个数字大小
js不能直降比较两·个数大小,要先转化为整数再比较大小. parseInt()转化. 出处:http://www.jb51.net/article/98251.htm
- Multidimensional Queries(二进制枚举+线段树+Educational Codeforces Round 56 (Rated for Div. 2))
题目链接: https://codeforces.com/contest/1093/problem/G 题目: 题意: 在k维空间中有n个点,每次给你两种操作,一种是将某一个点的坐标改为另一个坐标,一 ...
- Linux基础-awk使用
打印uid在30~40范围内的用户名:awk -F: '$3>=30&&$3<040{print $1}' passwd 打印第5-10行的行号和用户名:awk -F: ' ...
- AutoCAD DevTV-AUTOCAD二次开发资源合集
Webcast Language Date AutoCAD .Net - Session 2 English 13-Sep-12 AutoCAD .Net - Session 1 English 6- ...
- 2016.5.15——leetcode:Number of 1 Bits ,
leetcode:Number of 1 Bits 代码均测试通过! 1.Number of 1 Bits 本题收获: 1.Hamming weight:即二进制中1的个数 2.n &= (n ...
- Exif xss
这种XSS出现的状况会特别少. Exif是啥??? 可交换图像文件格式(英语:Exchangeable image file format,官方简称Exif),是专门为数码相机的照片设定的,可以记录数 ...
- 二十二、springboot之监控管理Actuator
1.新增spring-boot-starter-actuator的依赖 gradle: compile('org.springframework.boot:spring-boot-actuator') ...
- python并行计算(持续更新)
工作中需要对tensorflow 的一个predict结果加速,利用python中的线程池 def getPPLs(tester,datas): for line in datas: tester(l ...
- MIT6.006Lec01:Python实现
MIT6.006是Algo Intro这门课,据说语言使用python Lec01是讲peak finding,也就是峰值点 具体为: 一维情况下一个数组中a[i]>a[i-1]且a[i]> ...