YouYaX_V5.66 SQL注入漏洞下载

来源：黑吧安全网　浏览：1343次　时间：2014-07-23

YouYaX_V5.66 SQL注入漏洞

/Lib/MessageAction.php行94

public function delMesses()

{

$user = $_SESSION['youyax_user'];

if ($user == "" || $user == null)

$this->redirect("Index" . C('default_url') . "index" . C('static_url'));

for ($k = 0; $k < count($_POST['cb']); $k++) {

$id = $_POST['cb'][$k];

$result = $this->find(C('db_prefix') . "message", 'string', "mto='" . $_SESSION['youyax_user'] . "' and id='" . $id . "'");

if ($result) {

$this->delete(C('db_prefix') . "message", "mto='" . $_SESSION['youyax_user'] . "' and id='" . $id . "'");

}

$this->assign('jumpurl', $this->youyax_url . "/Message" . C('default_url') . "show" . C('static_url'))->assign('msgtitle', '操作成功')->assign('message', '消息已删除！')->success();

}

$id = $_POST['cb'][$k];未过滤直接进了$this->find();

来看find()
/ORG/YouYa.php行356

public function find($table, $ext = "string", $param)

{

//在 param 中寻找与给定的正则表达式 pattern 所匹配的子串

if (preg_match_all("/=/", $param, $tmp)) {

$sql = "select * from " . $table . " where " . $param;

} else {

$param = "id=".intval($param);

$sql = "select * from " . $table . " where " . $param;

}

$result = mysql_query($sql);

只要$parm里面有“=” 就不会intval了，这个点一样没输出只能基于时间注入跟
WooYun: YouYaX_V5.47 SQL注入漏洞(官网躺枪) 这个一样
附送一个鸡肋的本地文件包含
/ORG/YouYa.php 行107

private function deal($tp)

{

if (isset($_COOKIE['youyax_lang'])) {

$this->lang = require("lang/" . $_COOKIE['youyax_lang'] . "/lang.php"); //不太安全吧

$this->array_array['lang'] = $this->lang;

在当前mysql用户有file权限但是对web目录不可写的情况下，可以用注入写一个lang.php到/tmp 然后设置cookie youyax_lang为../../../tmp 就可以成功包含shell了

POST http://bbs.youyax.com/Message-delMesses.aspx HTTP/1.1
Host: bbs.youyax.com
dropdown=del&cb[]=1'

就能看到报错信息 
具体注入方法与 YouYaX_V5.47 SQL注入漏洞 一致就不用sqlmap来演示了

版权与免责声明：

凡注明稿件来源的内容均为转载稿或由网友用户注册发布，本网转载出于传递更多信息的目的；如转载稿涉及版权问题，请作者联系我们，同时对于用户评论等信息，本网并不意味着赞同其观点或证实其内容的真实性；

本文地址：https://top.cnzzla.com/artinfo/2573.html