Discuz 5.x/6.x/7.x投票SQL注入分析

时间 2019-12-05

标签 discuz 5.x 6.x 7.x 投票 sql 注入分析栏目 Discuz 繁體版

原文原文链接

看乌云有人爆了这个漏洞：http://www.wooyun.org/bugs/wooyun-2014-071516
感受应该是editpost.inc.php里投票的漏洞。由于dz已经肯定不会再修补7.x之前的漏洞了，因此直接贴细节吧。
问题出在 editpost.inc.php的281行，对用户提交的polloption数组直接解析出来带入SQL语句，由于默认只对数组值过滤，而不过滤键，因此会致使一个DELETE注入。php

 
        $pollarray 
        [ 
        'options' 
        ] =  
        $polloption 
        ; 
       
 
        if 
        ( 
        $pollarray 
        [ 
        'options' 
        ]) { 
       
 
        if 
        ( 
        count 
        ( 
        $pollarray 
        [ 
        'options' 
        ]) >  
        $maxpolloptions 
        ) { 
       
 
        showmessage( 
        'post_poll_option_toomany' 
        ); 
       
 
        } 
       
 
        foreach 
        ( 
        $pollarray 
        [ 
        'options' 
        ]  
        as 
        $key 
        =>  
        $value 
        ) {  
        //这里直接解析出来没处理$key 
       
 
        if 
        (!trim( 
        $value 
        )) { 
       
 
        $db 
        ->query( 
        "DELETE FROM {$tablepre}polloptions WHERE polloptionid='$key' AND tid='$tid'" 
        ); 
       
 
        unset( 
        $pollarray 
        [ 
        'options' 
        ][ 
        $key 
        ]); 
       
 
        } 
       
 
        } 
       

利用方法：
用注册帐户发布一个投票帖子，而后点击“编辑”，以下图数组

而后用burp拦截请求，点“编辑帖子”，修改其中的polloption为注入语句：post

由于代码判断trim($value)为空才执行下面的语句，因此必定要把范冰冰删掉。spa

返回结果已经成功注入了：.net

修补方法：code

若是不方便升级到Discuz X的话，能够修改editpost.inc.php文件，增长一行：
blog

1	`$key` `=` `addslashes` `(` `$key` `);`