本文整理自网络,侵删。
00 漏洞描述
PHPCMS2008由于广告模块取referer不严,导致一处sql注入漏洞.可以得到管理员用户名与密码,攻击者登录后台后可能会获取webshell,对服务器进行进一步的渗透。
01 漏洞分析
漏洞产生的位置:
/ads/include/ads_place.class.php的show方法中.
function show($placeid) ... if($adses[0]['option']) { foreach($adses as $ads) { $contents[] = ads_content($ads, 1); $this->db->query(“INSERT INTO$this->stat_table(`adsid`,`username`,`ip`,`referer`,`clicktime`,`type`)VALUES (‘$ads[adsid]','$_username','$ip',‘$this->referrer',‘$time',,'0')”); $template = $ads['template'] ? $ads['template'] : 'ads'; } } ...
sql语句中
$this->db->query(“INSERT INTO$this->stat_table(`adsid`,`username`,`ip`,`referer`,`clicktime`,`type`)VALUES (‘$ads[adsid]','$_username','$ip',‘$this->referrer',‘$time',,'0')”);
这里$this->referrer通过this方法直接将HTTP请求头中的referer字段插入到数据库中,没有做任何过滤措施。(这个this方法是PHPCMS里面直接封装的)。
所以现在已经找到漏洞点,下一步就是找包含漏洞的用户可控的页面。如果漏洞是用户不可控的,比如只能管理员利用,那就相当的鸡肋了。
这里使用回溯的方法,看看哪些页面调用了它。
页面/ads/include/commom.inc.php
<?php ... require MOD_ROOT.'include/ads_place.class.php'; require MOD_ROOT.'include/ads.class.php'; ... ?>
在往上看看谁调用了/ads/include/commom.inc.php
/ads/ad.php文件中
<?php ... require './include/common.inc.php'; ... ?>
ad.php文件为用户可控文件,但ad.php有时不能访问,继续向上查找/data/js.php
<?php chdir(‘../ads/'); require ‘./ad.php'; ?>
在用户访问首页时,会调用js.php,通过该文件可以提交有害字段,然后通过逐层调用,传入字段referer到危险方法show,引入SQL注入攻击。
02 漏洞利用
相关阅读 >>
phpcms v9网站生成sitemap静态地图页面操作步骤
phpcms v9出现can not connect to mysql server错误的原因和解决方法
更多相关阅读请进入《phpcms》频道 >>