免费开源相册Piwigo<= v2.7.1 SQL注入漏洞分析


发布人:admin分类:网络安全浏览量:31发布时间:2017-12-12

前段时间免费开源相册Piwigopwigo出了一个piwigo <= 2.6.0sql注入漏洞。漏洞公布的时候,piwigo已经更新到了2.7.1。但是,这个漏洞公布的时候确实是一个货真价实的0day,影响piwigo全版本。

下面是当时在官方网站测试的记录:

跟piwigo作者沟通了解到他们知道这个漏洞并且认为已经修复了。给他们提供了更多的细节和证明之后,piwigo很快发布了新版本。

漏洞分析

漏洞的分析看起来比较简单,是由于functions_rate.inc.php文件中的rate_picture函数没有对传入的$rate变量进行过滤,直接拼接到SQL中执行:代码如下

为什么这么简单的一个问题,piwigo没有发现,认为这个漏洞已经修复了呢。关键在与rate_picture函数开头其实是有个对$rate变量的过滤的。如下

判断$rate是否是$conf[&#039;rate_items&#039;]的项。而后面这个数组的值是配置文件里写死的。

看起来这句的功能是设置了一个rate变量的白名单。只能是0,1,2,3,4,5其中之一。这样子应该很安全才对。当然事实证明这样子写是不安全的。当$rate = "5'aaaaaaaaaaaaaaaaa "时,in_array($rate, $conf['rate_items']) 这个判断是返回True的。这是php里不同类型变量比较时候的一个特性。关于php比较运算符的特性可以参考这里。

简言之:当字符串跟整型变量使用"=="比较的时候,会将字符串转换成整型,再进行比较。

经过测试发现,in_array方法在进行比较时候的逻辑跟"=="是一致。

所以,利用这个特性,相当于完全的bypass in_array的过滤。可以输入任意的数据拼接到SQL语句中,只要以数组中的数字开头就可以了。此外php中的switch也存在类似的特性。

漏洞修复

升级版本即可。官方在新版中,对$rate用正则又判断了一把。限制了只能是数字。话说国内的程序一般就intval一下了。

[作者/xd_xd,转载请注明来自Freebuf黑客与极客(FreeBuf.COM)]


被黑站点统计 - 文章版权1、本主题所有言论和图片纯属会员个人意见,与本文章立场无关
2、本站所有主题由该文章作者发表,该文章作者与被黑站点统计享有文章相关版权
3、其他单位或个人使用、转载或引用本文时必须同时征得该文章作者和被黑站点统计的同意
4、文章作者须承担一切因本文发表而直接或间接导致的民事或刑事法律责任
5、本帖部分内容转载自其它媒体,但并不代表本站赞同其观点和对其真实性负责
6、如本帖侵犯到任何版权问题,请立即告知本站,本站将及时予与删除并致以最深的歉意
7、被黑站点统计管理员有权不事先通知发贴者而删除本文

免责声明

本站主要通过网络搜集国内被黑网站信息,统计分析数据,为部署安全型网络提供强有力的依据.本站所有工作人员均不参与黑站,挂马或赢利性行为,所有数据均为网民提供,提交者不一定是黑站人,所有提交采取不记名,先提交先审核的方式,如有任何疑问请及时与我们联系.

admin  的文章


微信公众号

微信公众号


Copyright © 2012-2022被黑网站统计系统All Rights Reserved
页面总访问量:21414701(PV) 页面执行时间:69.331(MS)
  • xml
  • 网站地图