PHPCMS2008 SQL注入漏洞

最新推荐文章于 2024-08-26 19:00:00 发布

whatiwhere

最新推荐文章于 2024-08-26 19:00:00 发布

阅读量2.5k

点赞数

分类专栏：学习笔记网络安全

本文链接：https://blog.csdn.net/whatiwhere/article/details/84666165

版权

学习笔记同时被 2 个专栏收录

55 篇文章 3 订阅

订阅专栏

网络安全

36 篇文章 65 订阅

订阅专栏

实验环境

实验环境
- 操作机： Windows XP
- 目标网址： www.test.ichunqiu

实验目的

掌握本次漏洞的原理及其利用方法
学会如何修复Sql注入漏洞

实验工具

Tamper Data：它是火狐浏览器的一款插件，主要功能如下：

可以用来查看和修改 HTTP/HTTPS 的头部和 POST 参数；
可以用来跟踪 HTTP 请求和响应
可以对 WEB 站点进行某些安全测试，用来调试 WEB 配置十分方便

实验内容

PHPCMS

PHPCMS网站管理系统是国内主流的CMS系统之一，目前已有数万网站的应用规模，拥有政府、企业、媒体等各个行业进千名商业用户。

漏洞介绍

PHPCMS2008由于广告模块取referer不严，导致一处sql注入漏洞.可以得到管理员用户名与密码，攻击者登录后台后可能会获取webshell，对服务器进行进一步的渗透。

影响范围

PHPCMS 2008 版本

漏洞危害

攻击者通过SQL注入漏洞，获取获取后台管理员账号密码，进一步可能得到Webshell，并对服务器安全造成极大的威胁

什么是 SQL注入（SQL Injection ）

认识SQL注入

SQL注入漏洞可以说是在企业运营中会遇到的最具破坏性的漏洞之一，它也是目前被利用得最多的漏洞。要学会如何防御SQL注入，我们首先要对他进行了解。

SQL注入（SQLInjection）是这样一种漏洞：当我们的Web app 在向后台数据库传递SQL语句进行数据库操作时。如果对用户输入的参数没有经过严格的过滤处理，那么攻击者就可以构造特殊的SQL语句，直接输入数据库引擎执行，获取或修改数据库中的数据。

SQL注入漏洞的本质是把用户输入的数据当做代码来执行，违背了数据与代码分离的原则。
SQL注入漏洞有两个关键条件，理解这两个条件可以帮助我们理解并防御SQL注入漏洞：
- 用户能控制输入的内容
- Web应用执行的代码中，拼接了用户输入的内容

SQL注入原理

SQL注入攻击指的是通过构建特殊的输入作为参数传入Web应用程序，而这些输入大都是SQL语法里的一些组合，通过执行SQL语句进而执行攻击者所要的操作，其主要原因是程序没有细致地过滤用户输入的数据，致使非法数据侵入系统。

SQL注入攻击的产生

当应用程序使用输入内容来构造动态SQL语句以访问数据库时，会发生SQL注入攻击。如果代码使用存储过程，而这些存储过程作为包含未筛选的用户输入的字符串来传递，也会发生SQL注入。
SQL注入可能导致攻击者使用应用程序登陆在数据库中执行命令。相关的SQL注入可以通过测试工具pangolin进行。如果应用程序使用特权过高的帐户连接到数据库，这种问题会变得很严重。在某些表单中，用户输入的内容直接用来构造动态SQL命令，或者作为存储过程的输入参数，这些表单特别容易受到SQL注入的攻击。而许多网站程序在编写时，没有对用户输入的合法性进行判断或者程序中本身的变量处理不当，使应用程序存在安全隐患。这样，用户就可以提交一段数据库查询的代码，根据程序返回的结果，获得一些敏感的信息或者控制整个服务器，于是SQL注入就发生了

本次实验首先分析漏洞的原理，接下来进行漏洞利用

实验步骤

步骤1：了解漏洞原理

本次漏洞产生的位置位于/ads/include/ads_place.class.php的show方法中，漏洞代码如下：

function show($placeid)
...
if($adses[0]['option'])
{
foreach($adses as $ads)
{
$contents[] = ads_content($ads, 1);

$this->db->query(“INSERT INTO$this->stat_table(`adsid`,`username`,`ip`,`referer`,`clicktime`,`type`)VALUES (‘$ads[adsid]','$_username','$ip',‘$this->referrer',‘$time',,'0')”);
$template = $ads['template'] ? $ads['template'] : 'ads';
}
}
...

可以看到，这里的$this->referrer通过this方法直接将HTTP请求头中的referer字段插入到数据库中，没有做任何过滤措施。

找到了漏洞的出处，接下来寻找包含漏洞的用户可控的页面。如果漏洞是用户不可控的，比如只能管理员利用，那就相对比较鸡肋了。

通过回溯法找到，在页面/ads/include/commom.inc.php 中调用了ads_place.class.php 。

<?php 
...
require MOD_ROOT.'include/ads_place.class.php';
require MOD_ROOT.'include/ads.class.php';
...
?>

继续回溯，发现在/ads/ad.php 中调用了/ads/include/commom.inc.php，ad.php文件为用户可控文件，但ad.php大多数情况下不能访问，因此继续向上查找。

发现了/data/js.php ，

<?php
chdir('../ads/');
require './ad.php';
?>

在用户访问首页时，会调用js.php，通过该文件可以提交有害字段，然后通过逐层调用，因此我们可以传入字段referer到危险方法show中，引入SQL注入攻击。

下一步我们进行利用操作

步骤2：漏洞验证

在漏洞介绍中，我们已经知道，因为模块取referer不严格，过滤不严谨，导致漏洞产生，因此我们这里就可以修改请求头中的referer，在本文中，我们直接使用火狐的插件Tamper 进行修改。

首先打开火狐浏览器，访问目标站点www.test.ichunqiu ，点击浏览器顶部的工具栏，选择Tamper ，打开后，我们点击左上角 Start Tamper 按钮启动它。

接下来访问之前在分析漏洞中得出的网址：www.test.ichunqiu/data/js.php?id=1

这时候，Tamper Data就会抓到当前访问的数据包：

注意：此处抓包网站要抓取正确，如图所示。

点击Tamper之前，将下面选项中的对勾要取消掉，这样它就不会抓取下面的包了，否则它会不停的弹出抓包提醒。

接下来点击Tamper 即可查看数据包内容：

可以看到我们并没有找到referer包，因此可以添加一个，并在内容里写入如下Payload：

referer=1', (SELECT 1 FROM (select count(*), concat(floor(rand(0)*2),char(45,45,45),(SELECT password from phpcms_member limit 1))a from information_schema.tables group by a)b), ‘0')#

这样通过SQL语句查询，就可以获取管理员账号密码。

点击空白处，选择第一个选项，Add element ，将Payload填写到输入框内：