PHPMyWind一处注入（鸡肋）

简要描述： sql注射。 详细说明： include\common.func.php: function GetIP static $ip = NULL; if$ip !== NULL return $ip; ifisset$SERVER'HTTPXFORWARDEDFOR' $arr = explode',', $SERVER'HTTPXFORWARDEDFOR'; $pos = arraysearch'unknown',$arr; iffalse !== $pos unset$arr$pos; $ip = trim$arr0; else...

phpmywind水平权限漏洞一枚，可修改任意用户的任意资料包括密码

简要描述： phpmywind水平权限漏洞一枚，可修改任意用户的任意资料包括密码 详细说明： 经过简单审核发现phpmywind 存在一处任意用户资料更新漏洞包括密码 因为phpmywind的密码采用双md5加密,即使存在注入，也很难跑出密码，所以感觉注入漏洞危害性还不如密码重置这类的漏洞，这里我就验证下密码重置这个漏洞，其实是可以修改任意用户的所有资料信息。 出现逻辑问题的代码位于member.php的第601行，上下文分别是 //更新资料 elseif$a == 'saveedit' //检测数据完整性 if$password!=$repassword or$email==''...

PHPMyWind某处设计失误导致7-8处SQL注入

简要描述： PHPMyWind某处设计失误导致7-8处SQL注入 详细说明： 经过简单审核发现phpmywind的一个漏洞集群，其实是设计原因导致的，总共会导致8处SQL注入，涉及的文件有两个分别是order.php 和 orderenter.php。漏洞核心在于$orderinfo在传输值的时候没有经过SQL注入的过滤。详述如下： 首先进入order.php，该页面用于填写商品订单信息，这里就生成了一个$orderinfo这个变量。 if$action == 'save' //检测数据完整性 if$username == '' or $truename == '' or...

PHPMyWind最新版SQL注入漏洞

简要描述： PHPMyWind 最新版V5.1 Beta 存在sql注入 详细说明： 文件:orderenter.php //初始化参数 $action = isset$action ? $action : ''; $shoppingcart = unserializeAuthCode$COOKIE'shoppingcart'; $orderinfo = unserializeAuthCode$COOKIE'orderinfo'; $totalprice = ''; $totalweight = ''; //商品运费 $r = $dosql-GetOne"SELECT postprice...

phpmywind 5.0 后台GetShell漏洞

简要描述： 这各漏洞子前被报过，但是厂商的修复不彻底。 详细说明： admin/webcongif.php 的过滤代码如下。 //强制去掉 ' //强制去掉最后一位 / $vartmp = strreplace"'",'',$row'varvalue'; ifsubstr$vartmp, -1 == '\' $vartmp = substr$vartmp,1,-1; 只过滤了最后一位的反斜杠，只需要加两个反斜杠就可以了····· 首先修改网站配置信息 configcache.php中会变成这样 $cfgwebname = '的网站'; $cfgweburl =...

PHPMyWind后台管理界面的SQL注入漏洞

简要描述： 后台管理界面因为过滤不严格导致SQL注入漏洞，可以使权限较低的管理员取得较高权限，以及获取并修改超级管理员的用户名密码。 详细说明： 存在问题的代码，adminsave.php 59-101行，SQL语句中的$id存在注入 else if$action == 'update' //创始人账号不允许更改状态 if$id == 1 and $checkadmin != 'true' or $levelname != '1' ShowMsg'抱歉，不能更改创始账号状态！','-1'; exit; //只有超级管理员才有权修改超级管理员 if$cfgadminlevel 1 and...

phpmywind 4.6.6 /order.php SQL注入漏洞

phpmywind 4.6.6...

PHPMyWind 注入漏洞&任意用户登录

简要描述： PHPMyWind 注入漏洞&任意用户登录 详细说明： member.php if!empty$COOKIE'username' &&//从COOKIE里面解密username然后赋值 !empty$COOKIE'lastlogintime' && !empty$COOKIE'lastloginip' $cuname = AuthCode$COOKIE'username'; $clogintime = AuthCode$COOKIE'lastlogintime'; $cloginip = AuthCode$COOKIE'lastloginip'; else $cuname =...

PHPMyWind 4.6.6 /member.php SQL注入漏洞

No description provided by source...

PHPMyWind最新版SQL注入漏洞

简要描述： PHPMyWind最新版SQL注入 详细说明： 文件：/data/alipay/returnurl.php $alipayNotify = new AlipayNotify$alipayconfig; $verifyresult = $alipayNotify-verifyReturn; if$verifyresult //验证成功...

PHPMyWind任意用户密码重置

简要描述： PHPMyWind任意用户密码重置 详细说明： phpmywind 4.6.6 在忘记密码，重置密码时，虽然后安全问题限制，但是在最后修改密码，update时，存在设计缺陷 导致可轻松重置任意用户密码。 文件member.php 在重置密码前有验证问题： //找回密码 else if$a == 'quesfind' if!isset$POST'uname' header'location:?c=findpwd'; exit; //验证输入数据 if$question == '-1' or $answer == '' header'location:?c=findpwd';...

phpmywind 4.6.6 /order.php SQL注入漏洞

No description provided by source...

PHPMYWIND Sql Injection #2

简要描述： 过滤不严。 详细说明： PHPMyWind\data\alipay\notifyurl.php中 $alipayNotify = new AlipayNotify$alipayconfig; $verifyresult = $alipayNotify-verifyNotify; if$verifyresult //验证成功...

PHPMYWIND 后台Getshell的一种方法

简要描述： 过滤不严。 详细说明： phpmywind 和 dedecms 都挺像的。 在修改配置文件的时候 过滤掉了单引号 防止闭合单引号 Getshell。 $cfgwebname = '我的网站'; $cfgweburl = 'http://127.0.0.1'; $cfgwebpath = '/phpmywind'; $cfgauthor = ''; $cfggenerator = 'PHPMyWind CMS'; $cfgkeyword = ''; $cfgdescription = ''; 配置文件 单引号保护。 然后过滤掉单引号。 看似无法从配置文件这里下手 其实还是可以的...

PHPMyWind后台无条件获取webshell

简要描述： 当时我就惊呆了... 详细说明： 在/include/mysql.class.php487行有这样一段代码 //保存MySql错误日志 $userIP = GetIP; $getUrl = GetCurUrl; $getTime = GetDateTimetime; $logfile = dirnameFILE.'/../data/error/mysqlerrortrace.php'; $savemsg = ' Time: '.$getTime.'. || Page: '.$getUrl.' || IP: '.$userIP.' || Error: '.$msg."\r\n"...

phpMyWind又一注入无视补丁

简要描述： phpMyWind又一注入无视补丁 详细说明： 废话不多说了，看正文吧。 0x01 漏洞原理 漏洞在shoppingcart.php文件大约152行处： $goods ? GetOne"SELECT FROM @goods WHERE id=".$goods0;/color //省略部分代码 可以从代码开始部分看到，$goods变量是从cookie中取出的shoppingcart字段值直接反序列化后的内容，没有进行任何的过滤和校验。 0x02 利用分析...

PHPMyWind绕过正则缺陷后台getshell

简要描述： 坑爹啊shell到手有木有... 详细说明： 看了看，前面的漏洞木有确认，好伤心啊 bug文件地址/include/mysql.class.php第511行; //如果是普通查询语句，直接过滤一些特殊语法 if$querytype == 'select' ifpregmatch'/^[email protected],union|sleep|benchmark|loadfile|outfile^[email protected],/', $sql//这个正则大概就是为了防止拿shell的 $this-DisplayError"$sql||SelectBreak",1;...

PHPMYWIND sql 一枚 无视GPC

简要描述： 今天又去重新看了看phpmywind 在官网上下的 版本还是4.6.6 无需登录 无需单引号。 详细说明： 在order.php中 ifempty$COOKIE'shoppingcart' header'location:shoppingcart.php'; exit; //不允许游客下单跳转登陆 ifempty$COOKIE'username' header'location:member.php?c=login'; exit; 让这两个不为空就好。 $action = isset$action ? $action : ''; $datagroup =...

PHPMyWind最新版SQL注射#1

简要描述： 通用型软件有奖励吗？怎么在重点应用跟一般应用都找不到PHPMyWind？？？ 详细说明： 在官网http://www.phpmywind.com/看了下，最新版是4.6.6，更新时间是13/11/28。去年知道创宇曾发布PHPMyWind三个SQL注入补丁→http://bbs.anquan.org/forum.php?mod=viewthread&tid=26575 本次报告的漏洞文件是order.php，上面的补丁包修复了order.php的31行的level，但是在374行的id却置之不理，因此漏洞产生了。 漏洞证明： 下载最新版PHPMyWind...

phpMyWind最新版本注入漏洞

简要描述： 在对phpmywind进行代码审计的时候发现一枚明显的注入漏洞，变量未经任何过滤直接带进数据库，虽然程序有sql注入的安全检测和过滤，但可以绕过限制，直接执行任意sql指令。 详细说明： 漏洞位于order.php 372行处，如图： 利用分析：phpmywind采用了80sec的sql过滤函数，之前大牛已经提过可以用@'的方式进行绕过，由于漏洞所在sql语句的查询结果不会直接在order.php上显示，故使用报错注入的方式构造exp，如图： 执行后查看源文件，发现注入成功： 漏洞证明： 漏洞证明如下：...