动动大拇指
![0be2c38f6b0c8c83dfafe43518619d29.gif](https://i-blog.csdnimg.cn/blog_migrate/80a0d11a76e80e487216077af1395d51.gif)
快快关注哦
![4e66deff6f2eb763aae52275b7723412.png](https://i-blog.csdnimg.cn/blog_migrate/ea23b38ff1ce18e9ee3d90ef72639282.png)
本文来自未命名安全团队内部小组原创分享,未经授权禁止转载.
作者:未命名安全团队@YinYi
危害级别
中
深圳市博思协创网络科技有限公司 IBOS v4.5.5
影响产品
漏洞描述
IBOS是一个基于PHP开发的协同办公管理系统。
IBOS办公系统存在SQL注入漏洞,攻击者可利用该漏洞获取数据库敏感信息。
CNVD-2020-41793
![cc4ca984736b91c71fccc7a6d457243d.gif](https://i-blog.csdnimg.cn/blog_migrate/f7bfb88b5f41c3eeaabb7f476c037ac1.gif)
漏洞复现
漏洞触发位置在个人网盘中的新建文件夹处
![ad59b59ec1a172d52ab6394288c16543.png](https://i-blog.csdnimg.cn/blog_migrate/12481c9b31cf65ddf8fff09282738f4d.png)
![f71d7a899baf64ee2dc36903883c0ba3.gif](https://i-blog.csdnimg.cn/blog_migrate/044d28eb73b925d898fabc8f3e163b1e.gif)
(图文来源:过程截图)
漏洞数据包
![58ec2f63b0233576e92d63abc887103d.png](https://i-blog.csdnimg.cn/blog_migrate/19dbaf2b88a4b1ec20124b860071fe3c.png)
![f71d7a899baf64ee2dc36903883c0ba3.gif](https://i-blog.csdnimg.cn/blog_migrate/044d28eb73b925d898fabc8f3e163b1e.gif)
(图文来源:过程截图)
Payload:asdas' AND (SELECT 5360 FROM (SELECT(SLEEP(5)))AkWZ) AND 'yxqB'='yxqB
![cc4ca984736b91c71fccc7a6d457243d.gif](https://i-blog.csdnimg.cn/blog_migrate/f7bfb88b5f41c3eeaabb7f476c037ac1.gif)
漏洞分析
根据此WEB程序应用规则,找到漏洞出发页面:
/system/module/file/views/personal/index.php
在此页面代码的第168行到171行,此按钮触发创建文件夹动作。
![5bab9814885bccd233395b10c356df5e.png](https://i-blog.csdnimg.cn/blog_migrate/7569f9117a5f15dccd0fa6414fce8a10.png)
![f71d7a899baf64ee2dc36903883c0ba3.gif](https://i-blog.csdnimg.cn/blog_migrate/044d28eb73b925d898fabc8f3e163b1e.gif)
(图文来源:分析截图)
查看数据包
![a9e99203d592d7571de75aa28c7c4369.png](https://i-blog.csdnimg.cn/blog_migrate/3e80e4499d3e9cee6f3ca8a9ee468495.png)
![f71d7a899baf64ee2dc36903883c0ba3.gif](https://i-blog.csdnimg.cn/blog_migrate/044d28eb73b925d898fabc8f3e163b1e.gif)
(图文来源:分析截图)
次数举报op参数是mkdir动作,根据路由规则,跟进到
/system/module/file/controllers/BaseController.php文件
在文件的第217行进而发现存在mkdir方法,代码如下:
![ebe3e60bc5866cab2c5d94c0ea054dc1.png](https://i-blog.csdnimg.cn/blog_migrate/a7591719d55be46ad1d85bdcb97299a0.png)
![f71d7a899baf64ee2dc36903883c0ba3.gif](https://i-blog.csdnimg.cn/blog_migrate/044d28eb73b925d898fabc8f3e163b1e.gif)
(图文来源:分析截图)
219行接收pid和name参数,进一步查看getRequest方法,代码如下
![76b38a6a15c8c2629062e7ce157008da.png](https://i-blog.csdnimg.cn/blog_migrate/bb69bdd5b669a86815bf344d83b69bd5.png)
![f71d7a899baf64ee2dc36903883c0ba3.gif](https://i-blog.csdnimg.cn/blog_migrate/044d28eb73b925d898fabc8f3e163b1e.gif)
(图文来源:分析截图)
此方法只是起到一个接收数据的作用未进行对参数的过滤。
在BaseController.php的第217行进行了使用了FileCheck.php文件中的isExist方法,跟进查看
![275ae2b44c0b9fb2b5a6c6e4c001738c.png](https://i-blog.csdnimg.cn/blog_migrate/dfadeebd20b56e31e0368ba16c8ce167.png)
![f71d7a899baf64ee2dc36903883c0ba3.gif](https://i-blog.csdnimg.cn/blog_migrate/044d28eb73b925d898fabc8f3e163b1e.gif)
(图文来源:分析截图)
代码的第61行只对$name进行XSS的过滤未防范sql注入。
所以形成SQL注入漏洞
CNVD-2020-41794
![cc4ca984736b91c71fccc7a6d457243d.gif](https://i-blog.csdnimg.cn/blog_migrate/f7bfb88b5f41c3eeaabb7f476c037ac1.gif)
漏洞复现
用户在评论指派任务时,可以进行sql注入漏洞
业务场景截图,如下
![ab022c0bdeb94cc97bf777617128b04a.png](https://i-blog.csdnimg.cn/blog_migrate/db74865c00b1c51ac787430b9633962f.png)
![f71d7a899baf64ee2dc36903883c0ba3.gif](https://i-blog.csdnimg.cn/blog_migrate/044d28eb73b925d898fabc8f3e163b1e.gif)
(图文来源:过程截图)
漏洞截图
![034ea8845d0cf19c355aa78d1516354e.png](https://i-blog.csdnimg.cn/blog_migrate/37d8b95c7393ea2db1cc469ef43d03e5.png)
![f71d7a899baf64ee2dc36903883c0ba3.gif](https://i-blog.csdnimg.cn/blog_migrate/044d28eb73b925d898fabc8f3e163b1e.gif)
(图文来源:过程截图)
漏洞数据包
![0d77a3d7717d7ed4a2a0f6cbe88650c9.png](https://i-blog.csdnimg.cn/blog_migrate/21a68afc77cb8e19c65bfc3940b18aa3.png)
![f71d7a899baf64ee2dc36903883c0ba3.gif](https://i-blog.csdnimg.cn/blog_migrate/044d28eb73b925d898fabc8f3e163b1e.gif)
(图文来源:过程截图)
![cc4ca984736b91c71fccc7a6d457243d.gif](https://i-blog.csdnimg.cn/blog_migrate/f7bfb88b5f41c3eeaabb7f476c037ac1.gif)
漏洞分析
根据数据包提示,得到漏洞形成的根本页面:
/system/modules/assignment/views/default/show.php
漏洞形成的起始代码,在此页面的第150行。
![12a62ecd639949b3a7ebffb895fa2eea.png](https://i-blog.csdnimg.cn/blog_migrate/c903d81ae1bf9c0cb33f1ca3fcf6c67c.png)
![f71d7a899baf64ee2dc36903883c0ba3.gif](https://i-blog.csdnimg.cn/blog_migrate/044d28eb73b925d898fabc8f3e163b1e.gif)
(图文来源:分析截图)
根据此应用程序路由规则第152行加载
/system/modules/assignment/widgets/AssignmentComment.php
跟进此文件,看到此文件初始化url,即添加评论的url链接。
![5c44f5b2aa2be7852e3895a6a659233b.png](https://i-blog.csdnimg.cn/blog_migrate/a568e1ba499d6a1ee2f1a18d1c87eb7b.png)
![f71d7a899baf64ee2dc36903883c0ba3.gif](https://i-blog.csdnimg.cn/blog_migrate/044d28eb73b925d898fabc8f3e163b1e.gif)
(图文来源:分析截图)
根据应用程序路由规则跟进到文件
/system/modules/message/core/Comment.php的第198行,此文件下addComment是接收POST内容的方法。
![b29d3b1cf0af1ba5fdfe52fccf898f48.png](https://i-blog.csdnimg.cn/blog_migrate/cd97008f0c6949368a020b32410d2c30.png)
![f71d7a899baf64ee2dc36903883c0ba3.gif](https://i-blog.csdnimg.cn/blog_migrate/044d28eb73b925d898fabc8f3e163b1e.gif)
(图文来源:分析截图)
接收完数据内容后,POST内容数据进入
/system/modules/message/model/Comment.php
具体详细代码如下:
![ed967c564bb1547af79e5cd7faf92ee5.png](https://i-blog.csdnimg.cn/blog_migrate/0773a269effbae9ad59940f24fef6434.png)
![f71d7a899baf64ee2dc36903883c0ba3.gif](https://i-blog.csdnimg.cn/blog_migrate/044d28eb73b925d898fabc8f3e163b1e.gif)
(图文来源:分析截图)
![74524143b3d42d4b92f10baa39f5bd8b.png](https://i-blog.csdnimg.cn/blog_migrate/607b831713a6e52c57b93af834a59d19.png)
![f71d7a899baf64ee2dc36903883c0ba3.gif](https://i-blog.csdnimg.cn/blog_migrate/044d28eb73b925d898fabc8f3e163b1e.gif)
(图文来源:分析截图)
此代码是评论内容添加代码,代码的第43行,可以看到此方法接收$data内容是经过安全过滤的,此处先不研究安全过滤方法是否存在绕过问题。继续向下查看此段代码,在代码的第75行可以看到此处并不是使用经过过滤的$add['touid'],而是直接使用的$data['touid']
![b08a73c50870780130f8e4e184d11398.png](https://i-blog.csdnimg.cn/blog_migrate/d39d5eef60e8206ece3b8e4369dbe9e7.png)
![f71d7a899baf64ee2dc36903883c0ba3.gif](https://i-blog.csdnimg.cn/blog_migrate/044d28eb73b925d898fabc8f3e163b1e.gif)
(图文来源:分析截图)
跟进fetchRealnameByUid方法:
![1defdb088e198db1ffddccac4470ebbd.png](https://i-blog.csdnimg.cn/blog_migrate/8bf0e3189c2057468cc0f653b7309a52.png)
![f71d7a899baf64ee2dc36903883c0ba3.gif](https://i-blog.csdnimg.cn/blog_migrate/044d28eb73b925d898fabc8f3e163b1e.gif)
(图文来源:分析截图)
此处即为sql语句查询,此处中的方法未进行过滤,形成sql注入漏洞。
CNVD-2020-41795
![cc4ca984736b91c71fccc7a6d457243d.gif](https://i-blog.csdnimg.cn/blog_migrate/f7bfb88b5f41c3eeaabb7f476c037ac1.gif)
漏洞复现
用户在查看简历导出简历处,可以进行sql注入漏洞
业务场景截图,如下:
![bf8a3483c93ed6bf46d0998566f003b6.png](https://i-blog.csdnimg.cn/blog_migrate/a20c1a02f2c7cd1ee89a224ca1d1bc6f.png)
![f71d7a899baf64ee2dc36903883c0ba3.gif](https://i-blog.csdnimg.cn/blog_migrate/044d28eb73b925d898fabc8f3e163b1e.gif)
(图文来源:过程截图)
漏洞截图
![b5e4b33270905e7dd30c423f2e61a6af.png](https://i-blog.csdnimg.cn/blog_migrate/216eea6f07a544911f3fc189b1ad07f9.png)
![f71d7a899baf64ee2dc36903883c0ba3.gif](https://i-blog.csdnimg.cn/blog_migrate/044d28eb73b925d898fabc8f3e163b1e.gif)
(图文来源:过程截图)
漏洞数据包
![5e151baed7d1b235b4c00df198a58c3b.png](https://i-blog.csdnimg.cn/blog_migrate/d5bd1873f752a06c877281af1b0f84c3.png)
![f71d7a899baf64ee2dc36903883c0ba3.gif](https://i-blog.csdnimg.cn/blog_migrate/044d28eb73b925d898fabc8f3e163b1e.gif)
(图文来源:过程截图)
Payload:r=recruit/contact/export&contactids=1') AND 4943=4943 AND ('EeZg'='EeZg
![cc4ca984736b91c71fccc7a6d457243d.gif](https://i-blog.csdnimg.cn/blog_migrate/f7bfb88b5f41c3eeaabb7f476c037ac1.gif)
漏洞分析
根据数据包提示,得到漏洞形成的根本页面:
/system/modules/recruit/components/ContactController.php
漏洞形成的起始代码,在此页面的第169行
![1885cab74327dce8e90227df2bd211e9.png](https://i-blog.csdnimg.cn/blog_migrate/7391e8247fb0dddb9396293d5f508da0.png)
![f71d7a899baf64ee2dc36903883c0ba3.gif](https://i-blog.csdnimg.cn/blog_migrate/044d28eb73b925d898fabc8f3e163b1e.gif)
(图文来源:分析截图)
可以看到contactids是接收过来的数据,跟进此参数,跟进fetchAll方法,在代码的第60行,未对此参数进行安全过滤直接拼接到sql中,如下图:
![a0ebfa3bb716904647b229614c185a89.png](https://i-blog.csdnimg.cn/blog_migrate/ff102927cd02ba6e0bcd99449d075343.png)
![f71d7a899baf64ee2dc36903883c0ba3.gif](https://i-blog.csdnimg.cn/blog_migrate/044d28eb73b925d898fabc8f3e163b1e.gif)
(图文来源:分析截图)
继续跟进此代码,下图可以看到,对此参数无过滤直接拼接语句,然后再执行此条sql
![ab0673d4e9ff779149784587141c7199.png](https://i-blog.csdnimg.cn/blog_migrate/a269a5df976f6b930dcf2f79e16e85ec.png)
![f71d7a899baf64ee2dc36903883c0ba3.gif](https://i-blog.csdnimg.cn/blog_migrate/044d28eb73b925d898fabc8f3e163b1e.gif)
(图文来源:分析截图)
此处即为sql语句查询,此处中的方法未进行过滤,形成sql注入漏洞。
告
知
本文涉及漏洞厂商已知晓并已做紧急处置;文章仅供学习交流不代表任何立场;如有侵权请联系微信:xier19960212,我们会第一时间处理.
END
![5d21d1e586e7ead128ad3b51a486fe75.png](https://i-blog.csdnimg.cn/blog_migrate/a23d89d91bddad38b19eb188d20239d9.jpeg)