vBulletin vBSSO Single Sign-On – <= 1.4.14 – SQL Injection

01-26-2015, 01:56 AM

Плагин: Plugin: http://www.vbulletin.org/forum/showthread.php?t=270517
Версия: <= 1.4.14

Этот плагин является уязвимым для инъекции SQL в файле /vbsso/avatar.php в функции fetchUserinfo.
Эта уязвимость использует запросы UNION ALL SELECTL. Если инъекция SQL будет успешна, браузер будет перенаправлять пользователя на URL, где URL содержит извлеченную информацию.

Я расскажу о 2 функциях, которые используются, goToAvatarUrl и fetchUserinfo. Я приведу лишь небольшую часть кода функции fetchUserinfo.

Code:

public function goToAvatarUrl() {
    $vbsso_forum_root = $this->settings[‘bburl’];
    $url = VBSSO_ASSETS_AVATAR_NOT_FOUND_IMAGE_FILE;
 
    if (isset($_GET[‘id’]) && !empty($_GET[‘id’])) {
        $id = sharedapi_gpc_variable(‘id’);
 
        $userinfo = $this->fetchUserinfo($id);
 
        if ($userinfo) {
            $this->fetchAvatarFromUserinfo($userinfo, (sharedapi_gpc_variable(‘thumb’) == ‘true’));
            $url = $userinfo[‘avatarurl’];
        }
 
        $host = $_SERVER[‘HTTP_HOST’];
        $vbsso_avatar = preg_match(“/$host/”, $url) ? $url : $vbsso_forum_root . ‘/’ . $url;
 
        $this->closeSqlConnection();
        sharedapi_url_redirect($vbsso_avatar);
    } else {
        $this->closeSqlConnection();
        sharedapi_url_redirect($vbsso_forum_root . ‘/’ . $url);
    }
}

Code:

private function fetchUserinfo(&$hash) {
    // Exit if a guest, otherwise we waste time running the query.
    if (!$hash) {
        return false;
    }
 
    $query = "SELECT userfield.*, usertextfield.*, user.*, usergroup.genericpermissions, UNIX_TIMESTAMP(passworddate) AS passworddate,
        IF(displaygroupid=0, user.usergroupid, displaygroupid) AS displaygroupid" .
        $this->iif($this->settings['avatarenabled'], ', avatar.avatarpath, NOT ISNULL(customavatar.userid) AS hascustomavatar,
        customavatar.dateline AS avatardateline, customavatar.width AS avwidth, customavatar.height AS avheight,
        customavatar.height_thumb AS avheight_thumb, customavatar.width_thumb AS avwidth_thumb, customavatar.filedata_thumb') .
        " FROM " . TABLE_PREFIX . "user AS user
    LEFT JOIN " . TABLE_PREFIX . "userfield AS userfield ON (user.userid = userfield.userid)
    LEFT JOIN " . TABLE_PREFIX . "usergroup AS usergroup ON (usergroup.usergroupid = user.usergroupid)
    LEFT JOIN " . TABLE_PREFIX . "usertextfield AS usertextfield ON (usertextfield.userid = user.userid) " .
        $this->iif($this->settings['avatarenabled'], "LEFT JOIN " . TABLE_PREFIX . "avatar AS avatar ON (avatar.avatarid = user.avatarid)
        LEFT JOIN " . TABLE_PREFIX . "customavatar AS customavatar ON (customavatar.userid = user.userid) ") .
        "WHERE MD5(LOWER(user.email)) LIKE '{$hash}' LIMIT 1";
 
    $user = $this->mysqli->query($query);
 
    $user = ($user) ? $user->fetch_assoc() : false;
 
    // Rest of the code.

Функция проверяет goToAvatarUrl на существующий параметр ID который устанавливается в URL, а затем выполняет над ним запрос sharedapi_gpc_variable.

После этого она вызывает функцию fetchUserinfo, которая выполняет запрос, который использует переменную unsanitized $ хэша, на проверку параметра ID в URL. После того, как запрос был выполнен он будет вызывать функцию fetchAvatarFromUserinfo, которая создает URL, где пользователь будет перенаправлен на хеш соль с паролем.

Пример приводить не буду, так как он запрещен правилами, запрос должен быть очень большой, делетант его не подберет, но для программеров не составит большого труда.

Результат инъекции к примеру будет такой:

Quote:

http://example.com/9d0d647f535a4c1f493eabf3d69ca89a:nO^sh9;TVNxGJ”X’+3cYkq9Z4Cd3WS