转载

Destoon 6.0 guestbook.php 通用SQL注入漏洞

刚看到今天发布了Destoon 6.0 2017-01-09 更新，用我在【代码审计】小密圈里说过的方法，瞬间找到修复的一处SQL注入漏洞。用中午的20分钟，小小地分析一下。

我们先看看diff（左新右老）：

mobile/guestbook.php 中将 $_SERVER['HTTP_USER_AGENT'] 删掉了。分析一下，这里是手机端的留言板，destoon将用户的User-Agent放入了留言内容变量 $post[content] 中。

而据我对destoon的了解，其全局对GPC做了转义和WAF，但User-Agent没有进行过滤，所以这里有可能存在一个SQL注入漏洞。

所以往后看看吧，其调用了guestbook类的add方法，将 $post 变量传入：

function add($post) {
    $post = $this->set($post);
    $sqlk = $sqlv = '';
    foreach($post as $k=>$v) {
        if(in_array($k, $this->fields)) { $sqlk .= ','.$k; $sqlv .= ",'$v'"; }
    }
    $sqlk = substr($sqlk, 1);
    $sqlv = substr($sqlv, 1);
    $this->db->query("INSERT INTO {$this->table} ($sqlk) VALUES ($sqlv)");
    return $this->itemid;
}

这里调用了 $this->set($post) 进行处理，跟进：

function set($post) {
    global $DT_TIME, $_username, $DT_IP, $TYPE;
    $post['content'] = strip_tags($post['content']);
    $post['title'] = in_array($post['type'], $TYPE) ? '['.$post['type'].']' : '';
    $post['title'] .= dsubstr($post['content'], 30);
    $post['title'] = daddslashes($post['title']);
    $post['hidden'] = isset($post['hidden']) ? 1 : 0;
    if($this->itemid) {
        $post['status'] = $post['status'] == 2 ? 2 : 3;
        $post['editor'] = $_username;
        $post['edittime'] = $DT_TIME;
    } else {
        $post['username'] = $_username;
        $post['addtime'] =  $DT_TIME;
        $post['ip'] =  $DT_IP;
        $post['edittime'] = 0;
        $post['reply'] = '';
        $post['status'] = 2;
    }
    $post = dhtmlspecialchars($post);
    return array_map("trim", $post);
}

简单分析可以发现，以下几点：

content 有如下过程： strip_tags -> htmlspecialchars -> trim
title 有如下过程： in_array($post['type'], $TYPE) ? '['.$post['type'].']' : '' -> substr($post['content'], 30) -> addslashes -> trim

先看content，因为destoon中的htmlspecialchars是设置了 ENT_QUOTES 参数的，所以单引号也被转义了，我们无法直接逃逸出单引号，但因为 / 没有转义，所以我们可以利用content来消灭掉一个单引号。

紧跟其后的title，又是从content中截取了三十个字符（令 $post['type'] 为空），所以我们大概可以构造出这样一个content: ,user(),0,0,0,0,0,0,2);.../

最后执行的SQL语句如下：

Destoon 6.0 guestbook.php 通用SQL注入漏洞