PHP错误回显泄露，容易造成XSS或SQL注入

# T; V: Z  d) m5 r复现步骤：注册一个马甲账号，再注册一个名字一模一样的马甲账号，会出现错误回显，带有SQL语句和加密后的密码信息。

/ Z5 @. o  Z% Y
5 q' I' K0 [1 F7 R8 s; J+ n6 H如图所示。（密码为1145141919810，从中可以暴力破译加盐Hash算法）
另外，参考https://blog.csdn.net/s11show_163/article/details/104645900，可以通过INSERT进行SQL注入，脱裤分分钟的事情。
! J$ n2 ~: ?  c+ |& j( X) j
' {& {! r* i4 O3 P) g望关闭DEBUG回显以免受到攻击。修复后请发一条公告链接至此，随后下沉防止有人发现。
9 R8 r0 f+ J) Y/ J( S% q7 y1 k已经是我遇到的第三个生产环境开DEBUG的了......上次是学校就算了，想问问程序员们怎么想的
修完了记得给我一个勋章玩玩
. k( |9 r9 r& @0 R5 D
; ]. i) V; O2 H& e1 W# _) r
" k5 c+ s  B  B- M6 q8 G9 M8 Y

BUG保护性屏蔽，技术人员正在尝试确认BUG严重程度

木新同学 发表于 2022-8-3 10:20
; {* [' k/ e4 q1 J8 A! KBUG保护性屏蔽，技术人员正在尝试确认BUG严重程度

0 F$ M" q( X6 G  d6 {! H/ Y8 Q我就是发布者，我刚刚比对了一下，这段SQL可以普通方法注入INSERT语句而且没有语句屏蔽，建议立刻封闭并且加强SQL语句过滤防止注入

XHG78999 发表于 2022-8-3 10:57
& u" `* y% _0 H9 v4 L% E3 i2 F**** 该帖被屏蔽 ****

收到，再次保护性屏蔽

确实是这个“我的马甲”插件在引起数据库错误，不过我以为这里并没有密码爆破/注入的问题。
& z$ v7 d% E: s" N% F6 a
这个插件里的Hash算法在数据库里对所有用户都用同样的盐，所以同时能看到输入和输出确实理论上能够还原盐，不过我以为爆破难度不小。而且即使得到盐也很难反解出其他用户的密码。
以及 Discuz 主数据库是使用完全不同且每用户都不同的盐的，所以那边并没问题。
* z7 o# Q8 q3 H! N* d, I; `
& u' ^* f! w$ P  k关于 SQL/XSS 注入问题，在涉及到的 memcp.inc.php 源码中

1. if($_GET['pluginop'] == 'add' && submitcheck('adduser')) {
   1 i8 z+ _6 u4 w# J' _% A7 |
2.   if($singleprem && in_array($_GET['usernamenew'], $permusers) || !$singleprem) {
   
3.     $usernamenew = addslashes(strip_tags($_GET['usernamenew']));
   / S: E! T. j/ ~7 q
4.     $logindata = addslashes(authcode($_GET['passwordnew']."\t".$_GET['questionidnew']."\t".$_GET['answernew'], 'ENCODE', $_G['config']['security']['authkey']));
   ! S' l4 S$ p6 g( o- ]- N; r' Y
5.     if(C::t('#myrepeats#myrepeats')->count_by_uid_username($_G['uid'], $usernamenew)) {
   
6.       DB::query("UPDATE ".DB::table('myrepeats')." SET logindata='$logindata' WHERE uid='$_G[uid]' AND username='$usernamenew'");
   6 P6 g" J. d1 `9 d
7.     } else {
   
8.       $_GET['commentnew'] = addslashes($_GET['commentnew']);
   , i8 G5 |5 W" g7 S- o/ m1 m
9.       DB::query("INSERT INTO ".DB::table('myrepeats')." (uid, username, logindata, comment) VALUES ('$_G[uid]', '$usernamenew', '$logindata', '".strip_tags($_GET['commentnew'])."')");
   : \# i3 \  N/ A, w5 h
10. ...

复制代码

确实是在做字符串拼接，这可不是好文明；不过它对输入数据进行了 addslashes 和 strip_tags，所以这里应该是回避了 SQL/XSS 注入的问题。
; m" _  D1 x# V: c5 g, ~
Discuz 系统本身似乎并未提供使它不显示错误信息的方法，也就是没得配置不改 Discuz 代码就关不掉？
MCBBS 也是会照样显示数据库错误的（大概 5 年前看到）。
这个倒是可以改改 Discuz 代码来关闭，不过有点治标不治本。
8 P" a# l: x: ~, y) [% j1 R; M
( l8 \6 v  F% Q) j% I倒是可以考虑考虑关掉这个马甲插件，看起来代码质量一般的样子（

, e/ M2 |/ N8 e& U& {7 E

Zbx1425 发表于 2022-8-3 13:02
确实是这个“我的马甲”插件在引起数据库错误，不过我以为这里并没有密码爆破/注入的问题。
: D" `' G: ^; a
$ o8 G0 a5 @# S+ p. K- H4 j+ _. ]/ O这个插件里的H ...

应该能挡住绝大部分注入吧，但是屏蔽到啥也不能用还能注入就是sql巧妙的一个点。
- }: a. G$ P" o" g: D1 ~5 H( L还是关了马甲插件吧，没用没效果代码又是一坨屎