CVE-2026-52614 - RuoYi v4.8.3 filterKeyword SQL इंजेक्शन बायपास

中文 | English

प्राधिकरण आवश्यक / केवल अधिकृत परीक्षण यह रिपॉजिटरी केवल सुरक्षा अनुसंधान और अधिकृत परीक्षण के लिए है। इसे बिना स्पष्ट अनुमति के सिस्टम पर उपयोग न करें। यह रिपॉजिटरी केवल सुरक्षा अनुसंधान और स्पष्ट रूप से अधिकृत परीक्षण के लिए है। कृपया अनधिकृत सिस्टम पर उपयोग न करें।

中文说明

भेद्यता परिचय

RuoYi v4.8.3 के कोड जनरेशन मॉड्यूल का /tool/gen/createTable एंडपॉइंट बैकएंड उपयोगकर्ताओं को टेबल बनाने वाला SQL सबमिट करने की अनुमति देता है। एंडपॉइंट SqlUtil.filterKeyword() को कॉल करता है जो कीवर्ड ब्लैकलिस्ट फ़िल्टर करता है, लेकिन कार्यान्वयन पहले इनपुट से सभी सफेद स्थान हटाता है, फिर ऐसे कीवर्ड से मिलान करता है जिनमें पिछले स्थान शामिल हैं (जैसे select , insert , drop ), जिससे संबंधित नियम मैच नहीं हो पाते।

CREATE TABLE ... AS SELECT ... (CTAS) स्टेटमेंट का उपयोग करके, Druid MySqlCreateTableStatement प्रकार जांच पास करने के साथ ही SELECT निष्पादित किया जा सकता है। वैध बैकएंड सत्र वाला हमलावर इस आधार पर बूलियन ब्लाइंड SQL इंजेक्शन बना सकता है, डेटाबेस से संवेदनशील जानकारी पढ़ सकता है और डेटा तालिकाएँ बना सकता है।

प्रभाव की शर्तें

• लक्ष्य RuoYi v4.8.3 है।
• हमलावर बैकएंड में लॉग इन है और उसके पास वैध JSESSIONID है।
• वर्तमान खाता कोड जनरेशन मॉड्यूल संबंधित एंडपॉइंट तक पहुंच सकता है।
• डेटाबेस और वर्तमान डेटाबेस खाता CTAS टेबल निर्माण कार्रवाई की अनुमति देता है।

भेद्यता सिद्धांत

सत्यापन स्क्रिप्ट sys_user तालिका में admin उपयोगकर्ता के पासवर्ड हैश और सॉल्ट निकालने के लिए निम्नलिखित तर्क का उपयोग करती है:

1. CTAS के माध्यम से मध्यवर्ती तालिका बनाएं, login_name, password और salt फ़ील्ड कॉपी करें।
2. प्रत्येक परीक्षण वर्ण के लिए एक परीक्षण तालिका बनाएं और WHERE में SUBSTRING() शर्त जोड़ें।
3. जब शर्त सत्य होती है, CTAS डेटा लौटाता है और परीक्षण तालिका स्वचालित रूप से कोड जनरेशन तालिका सूची में आयात नहीं होती।
4. जब शर्त गलती होती है, CTAS शून्य पंक्तियाँ लौटाता है और परीक्षण तालिका स्वचालित रूप से आयात हो जाती है, जिसे /tool/gen/list के माध्यम से क्वेरी किया जा सकता है।
5. परीक्षण तालिका सूची में दिखाई देती है या नहीं, इसके आधार पर पासवर्ड हैश और सॉल्ट को वर्ण दर वर्ण पुनर्प्राप्त करें।

आवश्यकताएँ

• Python 3.8+
• एक वैध और अधिकृत RuoYi बैकएंड सत्र
• Python निर्भरताएँ: requests, urllib3

निर्भरताएँ स्थापित करें:

python -m pip install requests urllib3

उपयोग विधि

exp.py खोलें और फ़ाइल के शीर्ष पर कॉन्फ़िगरेशन अनुभाग में निम्नलिखित दो पंक्तियों को बदलें:

TARGET = "http://127.0.0.1:8080"
COOKIE = "JSESSIONID=your_session_id"

जहाँ:

• TARGET: परीक्षण करने वाले RuoYi URL से बदलें, उदाहरण http://127.0.0.1:8080।
• COOKIE: बैकएंड में लॉग इन करने के बाद प्राप्त वैध JSESSIONID सत्र से बदलें।

बदलने के बाद सीधे चलाएं:

python exp.py

स्क्रिप्ट लक्ष्य डेटाबेस में मध्यवर्ती तालिका और बड़ी संख्या में बूलियन परीक्षण तालिकाएँ बनाएगी। कृपया केवल अलग या अधिकृत वातावरण में उपयोग करें, और परीक्षण पूरा होने के बाद डेटाबेस प्रशासक को संबंधित तालिकाओं को साफ करवाएं।

सत्यापन स्क्रीनशॉट

exp.png स्थानीय अधिकृत वातावरण में सफल सत्यापन का स्क्रीनशॉट है:

सुधार के सुझाव

• SQL सुरक्षा का निर्धारण करने के लिए स्ट्रिंग ब्लैकलिस्ट का उपयोग न करें, और उपयोगकर्ता द्वारा सबमिट किए गए SQL को सीधे निष्पादित न करें।
• filterKeyword() के सामान्यीकरण और मिलान तर्क को सुधारें, लेकिन इसे एकमात्र सुरक्षा उपाय न मानें।
• कोड जनरेशन एंडपॉइंट पर कठोर अनुमति नियंत्रण, संचालन ऑडिट और CSRF सुरक्षा लागू करें।
• किसी भी SQL तालिका निर्माण क्षमता को प्रतिबंधित या हटाएं; यदि व्यवसाय की वास्तविक आवश्यकता है, तो संरचित पैरामीटर का उपयोग करके निश्चित कथन बनाएं।
• न्यूनतम विशेषाधिकार वाले डेटाबेस खाते का उपयोग करें, संवेदनशील तालिकाओं को पढ़ने और CTAS/DDL निष्पादित करने की अनुमति को प्रतिबंधित करें।
• आधिकारिक रूप से ठीक किए गए संस्करण में अपग्रेड करें या विक्रेता की सुरक्षा पैच लागू करें।

English

सारांश

कोड-जनरेशन मॉड्यूल का /tool/gen/createTable एंडपॉइंट RuoYi v4.8.3 में प्रमाणित बैकएंड उपयोगकर्ताओं से टेबल-निर्माण SQL स्वीकार करता है। एंडपॉइंट SqlUtil.filterKeyword() को कॉल करता है ताकि खतरनाक SQL कीवर्ड को अवरुद्ध किया जा सके। हालाँकि, कार्यान्वयन ब्लैकलिस्ट प्रविष्टियों (जिनमें पिछले स्थान होते हैं, जैसे select , insert , और drop ) की जाँच करने से पहले इनपुट से सभी सफेद स्थान हटा देता है। इसलिए वे प्रविष्टियाँ सामान्यीकृत इनपुट से मेल नहीं खा पातीं।

एक CREATE TABLE ... AS SELECT ... (CTAS) स्टेटमेंट Druid MySqlCreateTableStatement प्रकार की जाँच पास कर सकता है, फिर भी SELECT निष्पादित करता है। वैध बैकएंड सत्र वाला हमलावर इस व्यवहार का उपयोग बूलियन-आधारित ब्लाइंड SQL इंजेक्शन, संवेदनशील-डेटा निष्कर्षण और तालिका निर्माण के लिए कर सकता है।

पूर्व शर्तें

• लक्ष्य RuoYi v4.8.3 चला रहा है।
• परीक्षक के पास वैध प्रमाणित बैकएंड JSESSIONID है।
• प्रमाणित खाता कोड-जनरेशन एंडपॉइंट तक पहुँच सकता है।
• डेटाबेस और उसका कॉन्फ़िगर किया गया खाता CTAS संचालन की अनुमति देता है।

PoC कैसे काम करता है

स्क्रिप्ट निम्नलिखित ओरेकल का उपयोग करके sys_user से admin का पासवर्ड हैश और सॉल्ट पुनर्प्राप्त करती है:

1. login_name, password और salt युक्त एक मध्यवर्ती तालिका बनाएं।
2. प्रत्येक उम्मीदवार वर्ण के लिए SUBSTRING() शर्त के साथ एक परीक्षण तालिका बनाएं।
3. जब शर्त सत्य होती है, CTAS एक पंक्ति लौटाता है और परीक्षण तालिका स्वचालित रूप से जनरेटर तालिका सूची में आयात नहीं होती।
4. जब शर्त गलती होती है, CTAS शून्य पंक्तियाँ लौटाता है और तालिका स्वचालित रूप से आयात हो जाती है, जिससे वह /tool/gen/list के माध्यम से दृश्यमान हो जाती है।
5. उस अंतर का उपयोग करके पासवर्ड हैश और सॉल्ट को एक-एक वर्ण करके पुनर्प्राप्त करें।

आवश्यकताएँ

• Python 3.8+
• एक वैध, अधिकृत RuoYi बैकएंड सत्र
• Python पैकेज: requests, urllib3

निर्भरताएँ स्थापित करें:

python -m pip install requests urllib3

उपयोग

exp.py खोलें और फ़ाइल के शीर्ष के पास कॉन्फ़िगरेशन अनुभाग में निम्नलिखित दो पंक्तियों को बदलें:

TARGET = "http://127.0.0.1:8080"
COOKIE = "JSESSIONID=your_session_id"

जहाँ:

• TARGET परीक्षण करने वाला RuoYi आधार URL है, उदाहरण http://127.0.0.1:8080।
• COOKIE एक वैध प्रमाणित बैकएंड JSESSIONID सत्र है।

URL और सत्र बदलने के बाद, चलाएं:

python exp.py

स्क्रिप्ट लक्ष्य डेटाबेस में एक मध्यवर्ती तालिका और कई बूलियन-परीक्षण तालिकाएँ बनाती है। इसका उपयोग केवल एक अलग या स्पष्ट रूप से अधिकृत वातावरण में करें, और परीक्षण के बाद डेटाबेस प्रशासक से उत्पन्न तालिकाओं को हटवाएं।

स्क्रीनशॉट

exp.png एक अधिकृत स्थानीय वातावरण में सफल सत्यापन दिखाता है:

शमन

• SQL कीवर्ड ब्लैकलिस्ट पर निर्भर न रहें या उपयोगकर्ता द्वारा प्रदान किए गए SQL को सीधे निष्पादित न करें।
• filterKeyword() में सामान्यीकरण और मिलान तर्क को सही करें, लेकिन इसे एकमात्र सुरक्षा नियंत्रण न मानें।
• कोड-जनरेशन एंडपॉइंट पर सख्त प्राधिकरण, ऑडिटिंग और CSRF सुरक्षा लागू करें।
• मनमाना SQL तालिका निर्माण हटाएं; यदि आवश्यक हो, तो संरचित, मान्य पैरामीटर से निश्चित कथन बनाएं।
• न्यूनतम-विशेषाधिकार वाले डेटाबेस खाते का उपयोग करें जो संवेदनशील तालिकाओं को नहीं पढ़ सकता या अनावश्यक CTAS/DDL संचालन नहीं कर सकता।
• आधिकारिक रूप से ठीक किए गए रिलीज़ में अपग्रेड करें या विक्रेता के सुरक्षा पैच लागू करें।

Files

• exp.py - सत्यापन स्क्रिप्ट / सत्यापन स्क्रिप्ट
• exp.png - सफल सत्यापन स्क्रीनशॉट / सत्यापन सफल स्क्रीनशॉट
• README.md - द्विभाषी भेद्यता दस्तावेज़ीकरण / चीनी-अंग्रेज़ी द्विभाषी भेद्यता विवरण