### 简要描述：
BiWEB最新门户版多处越权打包
### 详细说明：
在wooyun上看到了有人把biweb的shell拿到了： [WooYun: BIWEB门户版Getwebshell漏洞](http://www.wooyun.org/bugs/wooyun-2014-049746) ，也有人提了其他漏洞，我也来找找它的漏洞吧。去官网下BiWEB门户版最新的5.8.3来看看。
这里提一个越权删除任意用户发布的供求信息、资讯信息、产品信息、企业信息、会展信息、招聘信息、问题信息、视频信息……
这些地方都存在这个漏洞
```
/ask/adminu/index.php
/company/adminu/index.php
/exhibition/adminu/index.php
/job/adminu/index.php
/links/adminu/index.php
/news/adminu/index.php
/product/adminu/index.php
/trade/adminu/index.php
/video/adminu/index.php
```
以/trade/adminu/index.php进行证明，看看/trade/adminu/index.php吧
```
无关代码
$arrWhere = array();
$arrLink = array();
if(isset($_GET['action'])){
if($_GET['action']=='search') {
// 构造搜索条件和翻页参数
$arrLink[] = 'action=search';
if (!empty($_GET['title'])) {
$strKeywords = strval(urldecode($_GET['title']));
if($strKeywords[0] == '/'){
//精确查询ID
$strKeywords = substr($strKeywords,1);
if(is_numeric($strKeywords)) $arrWhere[] = "id = '" . $strKeywords . "'";
}else{
$arrWhere[] = "tag LIKE '%" . $_GET['title'] . "%'";
}
$arrLink[] = 'title=' . $_GET['title'];
}
if ($_GET['pass'] == '1' || $_GET['pass'] == '0') {
$arrWhere[] = "pass='".$_GET['pass']."'";
$arrLink[] = 'pass=' . $_GET['pass'];
}
if (!empty($_GET['type_id'])) {
$intTypeID = intval($_GET['type_id']);
$arrWhere[] = "type_id='".$intTypeID."' or type_roue_id like '%:$intTypeID:%'";
$arrLink[] = 'type_id='.$intTypeID;
}
} else {
$objWebInit->doInfoAction($_GET['action'],$_POST['select']);
}
}
无关代码
```
当$_GET['action']=’del’时，则执行这条语句$objWebInit->doInfoAction($_GET['action'],$_POST['select'])，我们再去看看doInfoAction()， 在/web_common5.8/php_common.php中
```
无关代码
function doInfoAction($strAction=null,$arrData=null,$arrFile=array('photo')){
switch ($strAction){
case 'del':
foreach ($arrData as $key=>$val){
$this->deleteInfo($val,$arrFile);
}
break;
case 'delpic':
foreach ($arrData as $key=>$val){
$this->deleteInfoPic($val,$arrFile);
}
break;
case 'moveup':
foreach ($arrData as $key=>$val){
$this->moveupInfo($val);
}
break;
case 'check':
foreach ($arrData as $key=>$val){
$this->passInfo($val,1);
}
break;
case 'uncheck':
foreach ($arrData as $key=>$val){
$this->passInfo($val,0);
}
break;
case 'settop':
foreach ($arrData as $key=>$val){
$this->topInfo($val,1);
}
break;
case 'unsettop':
foreach ($arrData as $key=>$val){
$this->topInfo($val,0);
}
break;
case 'setrecommend':
foreach ($arrData as $key=>$val){
$this->recommendInfo($val,1);
}
break;
case 'unsetrecommend':
foreach ($arrData as $key=>$val){
$this->recommendInfo($val,0);
}
break;
}
return true;
}
无关代码
```
再去看看相同文件中的deleteInfo()
```
function deleteInfo($intInfoID,$arrFile=array('photo')){
if($arr = $this->getInfo($intInfoID)){
if(!empty($this->arrGPic['FileSavePath'])){
foreach($arrFile as $val){
if(!empty($arr[$val]) && is_array($arr[$val])){
foreach($arr[$val] as $v){
if(is_string($v)) {
@unlink($this->arrGPic['FileSavePath'].$v);
@unlink($this->arrGPic['FileSavePath'].'s/'.$v);
@unlink($this->arrGPic['FileSavePath'].'b/'.$v);
@unlink($this->arrGPic['FileSavePath'].'f/'.$v);
}
if(is_array($v)){
@unlink($this->arrGPic['FileSavePath'].$v[$val]);
@unlink($this->arrGPic['FileSavePath'].'s/'.$v[$val]);
@unlink($this->arrGPic['FileSavePath'].'b/'.$v[$val]);
@unlink($this->arrGPic['FileSavePath'].'f/'.$v[$val]);
}
}
}elseif(!empty($arr[$val]) && is_string($arr[$val])){
@unlink($this->arrGPic['FileSavePath'].$arr[$val]);
@unlink($this->arrGPic['FileSavePath'].'s/'.$arr[$val]);
@unlink($this->arrGPic['FileSavePath'].'b/'.$arr[$val]);
@unlink($this->arrGPic['FileSavePath'].'f/'.$arr[$val]);
}
}
}
}else{
check::AlertExit('ID号为 '.$intInfoID.' 的记录并不存在！',-1);
}
$strWhere = " WHERE `id` = $intInfoID";
return $this->deleteDataG($this->tablename2,$strWhere);
}
```
可以看到，在删除的整个过程中没有对用户的属性进行判断，直接构造了$strWhere = " WHERE `id` = $intInfoID"并执行，这就造成了越权删除。而且无论哪个用户发表的各类信息，其id全都是统一从1开始编号，如果要全部删除，只要遍历就可以了，如果要删除哪条，直接删除其id对应的内容即可。
测试时，注册一个用户，访问 www.xxxx.com/trade/adminu/index.php?action=del，然后修改POST提交的内容为select[]=3,即可供求信息中id为3的供求信息删除。
### 漏洞证明：
见 详细说明
京公网安备 11010502034610号
暂无评论