### 简要描述： 因为qibocms 拥有很多系统。 看了看昨天发的那个洞 今天再下载了几个qibo其他的系统 发现有一部分系统存在该洞。 鉴于之前qibocms打补丁的时候总是打了几个系统 而遗漏了其他几个系统。 就把存在这洞的系统全部一个一个的写出来。 ### 详细说明： 统一来看看全局文件 ``` $_POST=Add_S($_POST); $_GET=Add_S($_GET); $_COOKIE=Add_S($_COOKIE); ``` ``` function Add_S($array){ foreach($array as $key=>$value){ if(!is_array($value)){ $value=str_replace("&#x","& # x",$value);//过滤一些不安全字符 $value=preg_replace("/eval/i","eva l",$value);//过滤不安全函数 !get_magic_quotes_gpc() && $value=addslashes($value); $array[$key]=$value; }else{ $array[$key]=Add_S($array[$key]); } } return $array; } ``` 判断是否开启gpc 如果off 就用addslashes来过滤数组中的value 没有过滤数组中的key。 0x01 新闻系统 news/member/post.php中 ``` elseif($job=='manage') { if(!$atc_power)showerr("你没权限"); if($rsdb[pages]<2){ header("location:post.php?job=edit&aid=$aid");exit; } if($step==2){ asort($orderDB); $i=0; foreach( $orderDB AS $key=>$value){ $i++; $db->query("UPDATE {$_pre}reply SET orderid=$i WHERE aid='$aid' AND rid='$key'"); } refreshto("$FROMURL","排序成功",1); } ``` 对数组中的key循环出来后...
### 简要描述： 因为qibocms 拥有很多系统。 看了看昨天发的那个洞 今天再下载了几个qibo其他的系统 发现有一部分系统存在该洞。 鉴于之前qibocms打补丁的时候总是打了几个系统 而遗漏了其他几个系统。 就把存在这洞的系统全部一个一个的写出来。 ### 详细说明： 统一来看看全局文件 ``` $_POST=Add_S($_POST); $_GET=Add_S($_GET); $_COOKIE=Add_S($_COOKIE); ``` ``` function Add_S($array){ foreach($array as $key=>$value){ if(!is_array($value)){ $value=str_replace("&#x","& # x",$value);//过滤一些不安全字符 $value=preg_replace("/eval/i","eva l",$value);//过滤不安全函数 !get_magic_quotes_gpc() && $value=addslashes($value); $array[$key]=$value; }else{ $array[$key]=Add_S($array[$key]); } } return $array; } ``` 判断是否开启gpc 如果off 就用addslashes来过滤数组中的value 没有过滤数组中的key。 0x01 新闻系统 news/member/post.php中 ``` elseif($job=='manage') { if(!$atc_power)showerr("你没权限"); if($rsdb[pages]<2){ header("location:post.php?job=edit&aid=$aid");exit; } if($step==2){ asort($orderDB); $i=0; foreach( $orderDB AS $key=>$value){ $i++; $db->query("UPDATE {$_pre}reply SET orderid=$i WHERE aid='$aid' AND rid='$key'"); } refreshto("$FROMURL","排序成功",1); } ``` 对数组中的key循环出来后 无过滤直接带入到了update语句中所以造成了注入。 ————————————————————————————————————— 0x02 图片系统 在 photo\member\post.php中 ``` elseif($job=='manage') { if(!$atc_power)showerr("你没权限"); if($rsdb[pages]<2){ header("location:post.php?job=edit&aid=$aid");exit; } if($step==2){ asort($orderDB); $i=0; foreach( $orderDB AS $key=>$value){ $i++; $db->query("UPDATE {$_pre}reply SET orderid=$i WHERE aid='$aid' AND rid='$key'"); } refreshto("$FROMURL","排序成功",1); } ``` 也是一样的原因 循环出来后没有对$key过滤 直接带入到查询。 0x03 视频系统 video/member/post.php中 ``` elseif($job=='manage') { if(!$atc_power)showerr("你没权限"); if($rsdb[pages]<2){ header("location:post.php?job=edit&aid=$aid");exit; } if($step==2){ asort($orderDB); $i=0; foreach( $orderDB AS $key=>$value){ $i++; $db->query("UPDATE {$_pre}reply SET orderid=$i WHERE aid='$aid' AND rid='$key'"); } refreshto("$FROMURL","排序成功",1); } ``` 也是一样的原因 循环出来后没有对$key过滤 直接带入到查询。 _ 0x04 博客系统 /blog/require/ajax/edit_sort.php中 ``` if($action == "update"){ foreach($name AS $key=>$value){ $db->query("UPDATE `{$pre}blog_{$type}_album` SET name='$value' WHERE uid='$lfjuid' AND id='$key'"); } ``` 这里跟之前的代码还有点不同 不过一样没过滤 造成注入。 /blog/member/update_sort.php ``` if($action == "update"){ foreach($name AS $key=>$value){ $db->query("UPDATE `{$pre}blog_{$type}_album` SET name='$value' WHERE uid='$lfjuid' AND id='$key'"); } ``` 博客系统中这样的很多 。 博客系统 第三弹 /blog/require/ajax/friendlink.php ``` if($act=='modify') { foreach($name AS $key=>$value){ if($value!=$_name[$key]||$url[$key]!=$_url[$key]){ $url[$key]=filtrate($url[$key]); $value=filtrate($value); $db->query("UPDATE {$pre}blog_friendlink SET name='$value',url='{$url[$key]}' WHERE uid='$lfjuid' AND id='$key'"); } } job_end($job); } ``` ### 漏洞证明： [<img src="https://images.seebug.org/upload/201407/2614343425ce9dfbb94b471811ae5e4e287b43e2.jpg" alt="25.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201407/2614343425ce9dfbb94b471811ae5e4e287b43e2.jpg) 都是同一原因的 随便找个系统演示就行了。
