记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

vBulletin 5.6.1 SQL注入漏洞

2020-06-03 13:01

vBulletin5 5.6.1 SQL注入漏洞

安装

php=7.2.10

步骤如下:

  1. 将config.php.bkp重命名为config.php(ren config.php.bkp config.php)
  2. 进入/ upload / core / includes目录。
  3. 将config.php.new重命名为config.php(ren config.php.new config.php)
  4. 编辑config.php并更改这些值以匹配您的信息。
    • $ config ['Database'] ['dbname'] ='数据库名称';
    • $ config ['Database'] ['technicalemail'] ='dbmaster@example.com ';
    • $ config ['MasterServer'] ['servername'] ='localhost'; //可以称为主机名
    • $ config ['MasterServer'] ['port'] = 3306;
    • $ config ['MasterServer'] ['username'] ='用户名';
    • $ config ['MasterServer'] ['password'] ='密码';
    • 对于vBulletin Connect的基本安装,无需在此文件中更改其他值。
  5. 将htaccess.txt重命名为.htaccess
  6. 其他按照系统引导安装就行
  7. 安装成功后要记得删除/ upload / core /install目录

成功后如图:

漏洞描述

cve披露的信息似乎比较轻描淡写:

5.5.6pl1之前的vBulletin,5.6.0pl1之前的5.6.0和5.6.1pl1之前的5.6.1具有错误的访问控制。

实际是nodeId未授权sql注入漏洞,且危害较大。

影响范围

vBulletin 5.5.6pl1之前版本

vBulletin 5.6.0pl1之前的5.6.0版本

vBulletin 5.6.1pl1之前的5.6.1版本

复现

payload:

nodeId[nodeid]=1 AND text.nodeid = 1 UNION SELECT 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,user(),19,20,21,22,23,24,25,26--

分析

vBulletin在/core/vb/api/实现ajax API调用

下面是栈调用情况

详细分析

payload:

nodeId[nodeid]=1 UNION SELECT 26,25,24,23,22,21,20,19,20,17,16,15,14,13,12,11,10,"cve-2020-12720",8,7,6,5,4,3,2,1;--

首先要说的是:

vB_Api_Content_Infraction继承于vB_Api_Content_Text

而vB_Api_Content_Text继承于vB_Api_Content

因此vB_Api_Content_Infraction拥有vB_Api_Content的方法

vB_Library_Content_Infraction也是同理

下图是类的继承关系:

下面我们来看vB_Api_Content->getIndexableContent(upload/core/vb/api/content.php):

调用了vB_Library_Content->getIndexableContent(upload/core/vb/library/content.php):

向下跳转,调用fillContentTableData

具体方法如下:

调用了getRow(upload/core/vb/db/assertor.php):

因为getRow传入getContentTablesData方法,我们跟进getContentTablesData(upload/core/packages/vbforum/db/mysql/querydefs.php)

调用cleanArray进行数据清洗:(upload/core/vb/cleaner.php)

进一步调用clean():

因为vartype为0,跳转到doclean方法(const CONVERT_SINGLE = 100):

因为type为0,直接跳转到TYPE_NOCLEAN(因为const TYPE_NOCLEAN = 0;):

经过清洗后返回的数据依然不变:

最后返回:

直接拼接不做处理

最后返回结果:

修复建议

官方已发布最新安全补丁,请及时更新补丁:

https://forum.vbulletin.com/forum/vbulletin-announcements/vbulletin-announcements_aa/4440032-vbulletin-5-6-1-security-patch-level-1

参考

https://www.exploit-db.com/exploits/48472

https://www.tenable.com/blog/cve-2020-12720-vbulletin-urges-users-to-patch-undisclosed-security-vulnerability

知识来源: xz.aliyun.com/t/7831

阅读:14927 | 评论:0 | 标签:注入 漏洞

想收藏或者和大家分享这篇好文章→复制链接地址

“vBulletin 5.6.1 SQL注入漏洞”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

九层之台,起于累土;黑客之术,始于阅读

推广

工具

标签云