最新phpcms v9.6.0 sql注入漏洞分析

昨天爆出来的，但其实在此之前就i记得在某群看见有大牛在群里装逼了。一直也没肯告诉。现在爆出来了。就来分析一下。官方现在也还没给出修复。该文不给出任何利用的EXP。

该文只做安全研究，不做任何恶意攻击！否则一切后果自负！

问题函数：swfupload_json

所在所在地址：phpcms/modules/attachment/attachments.php

看到src这个参数被safe_replace函数给处理了。跟进这个函数看一下是如何处理的。

跟进函数：safe_replace

函数所在地址：phpcms/libs/functions/global.func.php

从过滤中可以看出，过滤了%27如此单引号就没戏了？不然！倘若是

127.0.0.1/xishaonian.php?id=%*

可以看到鑫号(*)也是被过滤的。如果他直接将*替换为空以后那么就组合成了%27

这里分析出该处可能含有注入绕过以外那么我们来追踪一下src这个变量。

再来回到swfupload_json函数

$arrr被进行了json_encode

不太懂json_encode。临时学习了一下：

很不错的函数介绍：http://www.nowamagic.net/php/php_FunctionJsonEncode.php

这个函数的功能是将数值转换成json数据存储格式。

这好尴尬啊，json数据储存格式还是不懂.

科普传送门：http://baike.baidu.com/link?url=LtkLSO2W56XllkOp1yVIHbfA5kfC6iIpDo6lrP4CJihzPp0R2D1kDtgViUqcR60Q1kdxbujcJZkBBnfJptEGBq

然后又经过了param::get_cookie是加密为cookie

然后定位到这个函数：init()

函数所在地址：phpcms/modules/content/down.php

sys_auth是phpcms中自带的一个加密函数。

decode是把它原来加密jion的又解密回来了。

TMD 看了一下确实跟造轮子似的。PS:该文参考95zz微信公众号发出来的所撰写。

payload:/index.php?m=attachment&c=attachments&a=swfupload_json&aid=1&src=&id=%*27 and updatexml(1,concat(1,(user())),1)#&m=1&f=haha&modelid=2&catid=7&

随机推荐

C# 轻松实现对窗体（Form）换肤[转]
一直想写一个比较完整的.容易扩展的窗体换肤的方案,由于时间问题,都没去实现这个想法.现在有朋友提出需要,就把以前写的重新拿出来看了一篇,花了些时间,做出了现在的这个换肤的方案.实现的过程中遇到了不少问 ...
Linux Centos7安装chrome浏览器
参考:https://blog.csdn.net/u010472499/article/details/72327963 1. 配置yum源在目录 /etc/yum.repos.d/ 下新建文件 g ...
【转】TCP分段与IP分片
原文: :https://www.jianshu.com/p/f9a5b07d99a2 -------------------------------------------------------- ...
tm标准mvc框架对应robotlegs 的mvc
tm标准mvc框架对应robotlegs 的mvc+s (其实都是一样样滴)
ibatis自定义数据类型在不支持中文的数据库存储汉字
道理很简单,把gbk的汉字转换成iso编码存进数据库就可以了,读出来的时候把iso转换成gbk还原出原始的汉字. ibatis可以自定义类型处理器,在这里面做编码转换再适合不过了! sqlmap-co ...
sqlserver并发用户数
http://zhidao.baidu.com/question/291231462.html http://dev.mysql.com/downloads/mysql/
协议名称处理函数xxxprotoxxx（）
为了方便操作,Linux提供了一组用于查询协议的值及名称的函数. xxxprotoxxx()函数: 上面的函数对文件/etc/protocols中的记录进行操作,文件中记录了协议的名称.值和别名等值, ...
fatal error LNK1123: 转换到 COFF 期间失败：文件无效或损坏
问题出现背景: 原本电脑里是装着VS2015的,其使用的是.NET 4.5,当再安装VS2010之后,不能与当前的.NET平台兼容.卸载VS2015时,不会恢复.NET 4.0. l 当VS2015安 ...
moment
var now = moment(1410181234567)var formatted = now.format('YYYY-MM-DD HH:mm:ss')console.log(formatte ...
C#:XML操作（简单）
using System; using System.Collections.Generic; using System.Linq; using System.Text; using System.X ...

最新phpcms v9.6.0 sql注入漏洞分析

最新phpcms v9.6.0 sql注入漏洞分析的更多相关文章

随机推荐

热门专题