### 简要描述：
Thinksaas SQL注入#2
### 详细说明：
Thinksaas 最新版在小组发表帖子时，帖子内容中可以@其他用户，这里在处理@的用户时，只在前台过滤，未在后台过滤，而且没有通过sql安全检查，直接拼接到sql语句中，导致sql注入。还有一处是在编辑补贴内容处，title和content都么过滤
来看看发帖的地方，参数的传递：
```
// 执行发布帖子
case "do" :
if ($_POST ['token'] != $_SESSION ['token']) {
tsNotice ( '非法操作！' );
}
$authcode = strtolower ( $_POST ['authcode'] );
if ($TS_SITE ['base'] ['isauthcode']) {
if ($authcode != $_SESSION ['verify']) {
tsNotice ( "验证码输入有误，请重新输入！" );
}
}
$groupid = intval ( $_POST ['groupid'] );
$title = tsClean ( $_POST ['title'] );
$content = tsClean ( $_POST ['content'] );
$typeid = intval ( $_POST ['typeid'] );
$tag = tsClean ( $_POST ['tag'] );
```
跟进tdClean函数：
```
function cleanJs($text) {
$text = trim ( $text );
$text = stripslashes ( $text );
// 完全过滤注释
$text = preg_replace ( '/<!--?.*-->/', '', $text );
// 完全过滤动态代码
$text = preg_replace ( '/<\?|\?>/', '', $text );
// 完全过滤js
$text = preg_replace ( '/<script?.*\/script>/', '', $text );
// 过滤多余html
$text = preg_replace ( '/<\/?(html|head|meta|link|base|body|title|style|script|form|iframe|frame|frameset)[^><]*>/i', '', $text );
// 过滤on事件lang js
while ( preg_match ( '/(<[^><]+)(lang|onfinish|onmouse|onexit|onerror|onclick|onkey|onload|onchange|onfocus|onblur)[^><]+/i', $text, $mat ) ) {
$text = str_replace ( $mat [0], $mat [1], $text );
}
while ( preg_match ( '/(<[^><]+)(window\.|javascript:|js:|about:|file:|document\.|vbs:|cookie)([^><]*)/i', $text, $mat ) ) {
$text = str_replace ( $mat [0], $mat [1] . $mat [3], $text );
}
return $text;
}
/**
* 输入安全过滤
* @param unknown $text
* @return mixed
*/
function tsClean($text) {
$text = cleanJs ( $text );
return $text;
}
```
只是将content内容对js相关内容进行了过滤。
再来看看处理@用户时的操作：
```
// 处理@用户名
if (preg_match_all ( '/@/', $content, $at )) {
preg_match_all ( "/@(.+?)([\s|:]|$)/is", $content, $matches );
$unames = $matches [1];
$ns = "'" . implode ( "','", $unames ) . "'";
$csql = "username IN($ns)";
if ($unames) {
$query = $db->fetch_all_assoc ( "select userid,username from " . dbprefix . "user_info where $csql" );//注入点在这里
foreach ( $query as $v ) {
$content = str_replace ( '@' . $v ['username'] . '', '[@' . $v ['username'] . ':' . $v ['userid'] . ']', $content );
$msg_content = '我在帖子中提到了你<br />去看看：' . tsUrl ( 'group', 'topic', array (
'id' => $topicid
) );
aac ( 'message' )->sendmsg ( $userid, $v ['userid'], $msg_content );
}
$new ['group']->update ( 'group_topic', array (
'topicid' => $topicid
), array (
'content' => $content
) );
}
```
匹配到@用户时的内容后，通过空格:冒号进行匹配，然后用都好分割，去第二个，放到sql语句中，最后带入查询，造成sql注入。
### 漏洞证明：
我们发表帖子，然后抓包：
[<img src="https://images.seebug.org/upload/201312/19161622bec5bf0d556f7a060ecdb71d1091da30.png" alt="5.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201312/19161622bec5bf0d556f7a060ecdb71d1091da30.png)
[<img src="https://images.seebug.org/upload/201312/19161633921270c49c3c75b2e54a6d62661511ef.png" alt="6.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201312/19161633921270c49c3c75b2e54a6d62661511ef.png)
这里的content内容在前台进行了过滤，但是我们抓包含可以进行修改，如上图修改。
我们的sql语句会被执行，延迟10秒，帖子发表成功。
看看数据库的执行日志，以及此语句的执行结果：
[<img src="https://images.seebug.org/upload/201312/191616441ba2219790362423bf5406d5152c539e.png" alt="7.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201312/191616441ba2219790362423bf5406d5152c539e.png)
京公网安备 11010502034610号
暂无评论