https://www.lucien116.com/tags/joomla/Recent content in Joomla on Lucien's BlogHugozh-HansThu, 18 May 2017 16:33:22 +0000https://www.lucien116.com/archives/351/Thu, 18 May 2017 16:33:22 +0000http://www.lucien116.com/?p=351<p><strong>Author: p0wd3r (知道创宇404安全实验室)</strong> <strong>Date: 2017-05-18</strong></p> <h2 id="0x00-漏洞概述">0x00 漏洞概述</h2> <h3 id="漏洞简介">漏洞简介</h3> <p>Joomla于5月17日发布了新版本3.7.1,（ <a href="https://www.joomla.org/announcements/release-news/5705-joomla-3-7-1-release.html">https://www.joomla.org/announcements/release-news/5705-joomla-3-7-1-release.html</a>），本次更新中修复一个高危SQL注入漏洞（ <a href="https://developer.joomla.org/security-centre/692-20170501-core-sql-injection.html">https://developer.joomla.org/security-centre/692-20170501-core-sql-injection.html</a>），成功利用该漏洞后攻击者可以在未授权的情况下进行SQL注入。</p> <h3 id="漏洞影响">漏洞影响</h3> <p>未授权状态下SQL注入</p> <p>影响版本： 3.7.0</p> <h2 id="0x01-漏洞复现">0x01 漏洞复现</h2> <p>Joomla 在 3.7.0 中新增了一个 <code>com_field</code> 组件，其控制器的构造函数如下，在 <code>components/com_fields/controller.php</code> 中： <img loading="lazy" src="http://paper.seebug.org/content/images/2017/05/construct.png"></p> <p>可以看到当访问的 <code>view</code> 是 <code>fields</code>， <code>layout</code> 是 <code>modal</code> 的时候，程序会从 <code>JPATH_ADMINISTRATOR</code> 中加载 <code>com_fields</code>，这就意味着普通用户可以通过这样的请求来使用管理员的 <code>com_fields</code>。</p> <p>接下来我们看管理员的 <code>com_fields</code> 组件，我们来到 <code>administrator/components/com_fields/models/fields.php</code>，其中的 <code>getListQuery</code> 的部分代码如下：</p> <p><img alt="Alt text" loading="lazy" src="http://paper.seebug.org/content/images/2017/05/getlistquery.png"></p> <p>程序通过 <code>$this-&gt;getState</code> 取到 <code>list.fullordering</code>，然后使用 <code>$db-&gt;escape</code> 处理后传入 <code>$query-&gt;order</code> 函数，mysqli的 <code>escape</code> 函数代码如下：</p> <p><img alt="Alt text" loading="lazy" src="http://paper.seebug.org/content/images/2017/05/escape.png"></p> <p>这里调用 <code>mysqli_real_escape_string</code> 来转义字符，该函数具体作用如下：</p> <p><img alt="Alt text" loading="lazy" src="http://paper.seebug.org/content/images/2017/05/mysqli-escape.png"></p> <p>仅对单双引号等字符进行转义，并未做更多过滤。另外 <code>$query-&gt;order</code> 函数的作用仅仅是将数据拼接到 <code>ORDER BY</code> 语句后，也并未进行过滤，所以如果 <code>list.fullordering</code> 可控，那么就可以进行注入。</p> <p>我们可以看到 <code>list.fullordering</code> 是一个 <code>state</code>， <code>state</code> 会在视图的 <code>display</code> 函数中进行设置：</p>