漏洞详情

披露状态:

2014-02-24: 细节已通知厂商并且等待厂商处理中
2014-02-24: 厂商已经确认,细节仅向厂商公开
2014-02-27: 细节向第三方安全合作伙伴开放
2014-03-06: 细节向核心白帽子及相关领域专家公开
2014-03-16: 细节向普通白帽子公开
2014-04-05: 细节向实习白帽子公开
2014-05-25: 细节向公众公开

简要描述:

详细说明:

上个注入大礼包,终于走了一个大厂商!

看来还是打包来的划算,最后一个注入大礼包了。

这个漏洞完了,回给出修复方案,求给力!



第一处SQL注入

/app/group/action/add.php

// 执行发布帖子
case "do" :

if ($_POST ['token'] != $_SESSION ['token']) {
tsNotice ( '非法操作!' );
}

$authcode = strtolower ( $_POST ['authcode'] );

if ($TS_SITE ['base'] ['isauthcode']) {
if ($authcode != $_SESSION ['verify']) {
tsNotice ( "验证码输入有误,请重新输入!" );
}
}

$groupid = intval ( $_POST ['groupid'] );
$title = tsClean ( $_POST ['title'] );
$content = tsClean ( $_POST ['content'] );
$typeid = intval ( $_POST ['typeid'] );
$tag = tsClean ( $_POST ['tag'] );
......
// 处理@用户名
if (preg_match_all ( '/@/', $content, $at )) {
preg_match_all ( "/@(.+?)([\s|:]|$)/is", $content, $matches );

$unames = $matches [1];

$ns = "'" . implode ( "','", $unames ) . "'";

$csql = "username IN($ns)";

if ($unames) {

$query = $db->fetch_all_assoc ( "select userid,username from " . dbprefix . "user_info where $csql" );



这里在进行发帖时,内容可以@别人,但是在匹配@内容时,content内容由函数tsClean()过滤,同样没有到的过滤SQL的功能。没有任何处理,进行了sql查询语句,导致SQL注入。



第二处SQL注入

/app/group/action/add.php

// 处理@用户名
if (preg_match_all ( '/@/', $content, $at )) {
preg_match_all ( "/@(.+?)([\s|:]|$)/is", $content, $matches );

$unames = $matches [1];

$ns = "'" . implode ( "','", $unames ) . "'";

$csql = "username IN($ns)";

if ($unames) {

$query = $db->fetch_all_assoc ( "select userid,username from " . dbprefix . "user_info where $csql" );

foreach ( $query as $v ) {
$content = str_replace ( '@' . $v ['username'] . '', '[@' . $v ['username'] . ':' . $v ['userid'] . ']', $content );
$msg_content = '我在帖子中提到了你<br />去看看:' . tsUrl ( 'group', 'topic', array (
'id' => $topicid
) );
aac ( 'message' )->sendmsg ( $userid, $v ['userid'], $msg_content );
}
$new ['group']->update ( 'group_topic', array (
'topicid' => $topicid
), array (
'content' => $content
) );
}



也是在第一处SQL注入的下面,进行了update操作,同样content没有过滤进入update的row参数,没过滤导致注入。

如图证明:

1.png





第三处SQL注入

/app/group/action/after.php

//执行补贴
case "ado":

if($_POST['token'] != $_SESSION['token']) {
tsNotice('非法操作!');
}

$topicid = intval($_POST['topicid']);
$content = tsClean($_POST['content']);
$title = tsClean($_POST['title']);
......
//上传附件开始
$attUpload = tsUpload($_FILES['attfile'],$afterid,'after',array('zip','rar','doc','txt','pdf','ppt','docx','xls','xlsx'));
if($attUpload){

$new['group']->update('group_topic_add',array(
'id'=>$afterid,
),array(
'path'=>$attUpload['path'],
'attach'=>$attUpload['url'],
'attachname'=>$attUpload['name'],
));
}
//上传附件结束



执行补贴时,上传附件时,对上传文件的名字那么没有过滤,导致SQL注入。



第四+五处SQL注入

/app/group/action/after.php

//编辑执行
case "edo":

if($_POST['token'] != $_SESSION['token']) {
tsNotice('非法操作!');
}

$afterid = intval($_POST['afterid']);

$strAfter = $new['group']->find('group_topic_add',array(
'id'=>$afterid,
));

if($strAfter['userid'] == $userid || $TS_USER['user']['isadmin']==1){

$content = tsClean($_POST['content']);
$title = tsClean($_POST['title']);

//过滤内容开始
aac('system')->antiWord($title);
aac('system')->antiWord($content);
//过滤内容结束

$new['group']->update('group_topic_add',array(
'id'=>$afterid,
),array(
'title'=>$title,
'content'=>$content,
'uptime'=>time(),
));
......
//上传附件开始
$attUpload = tsUpload($_FILES['attfile'],$afterid,'after',array('zip','rar','doc','txt','pdf','ppt','docx','xls','xlsx'));
if($attUpload){

$new['group']->update('group_topic_add',array(
'id'=>$afterid,
),array(
'path'=>$attUpload['path'],
'attach'=>$attUpload['url'],
'attachname'=>$attUpload['name'],
));



这里存在两处,一处是编辑发布的补贴内容时,title和content都没有过滤,导致SQL注入。

还有一处就是编辑补贴时上传附件,附件的名字那么未过滤,导致SQL注入。

证明如图:

2.png

漏洞证明:

见详细说明

修复方案:

说一下具体的修复吧:

此应用之前2.0.1没有全局过滤,导致大面积SQL注入。

2月15更新了2.1.

但是在2.1里面虽然加了全局过滤gpc,但是在部分地方使用了tsClean函数,

而tsClean又有stripslashes,所以导致又免过滤了,造成SQL注入。

还有就是在update时,值处理了where那里,在row和key那里都没有处理。

加上上面注意的两点,全局过滤+SQL入口处理,既可以修复大部分问题了。

至于细节,你们都懂,官方看着修复吧。

版权声明:转载请注明来源 xfkxfk@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2014-02-24 18:12

厂商回复:

再次感谢xfkxfk对thinksaas的关注。
非常感谢提供详细的修复方案,update问题已修复!

最新状态:

暂无


漏洞评价: