当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2011-02969

漏洞标题：ECShop 2.7.2 API 盲注漏洞

相关厂商：ShopEx

漏洞作者： tenzy

提交时间：2011-10-10 11:54

修复时间：2011-11-09 11:55

公开时间：2011-11-09 11:55

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2011-10-10： 细节已通知厂商并且等待厂商处理中
2011-10-10： 厂商已经确认，细节仅向厂商公开
2011-10-13： 细节向第三方安全合作伙伴开放
2011-12-04： 细节向核心白帽子及相关领域专家公开
2011-12-14： 细节向普通白帽子公开
2011-12-24： 细节向实习白帽子公开
2011-11-09： 细节向公众公开

简要描述：

该漏洞已经过本人测试存在。在服务器关闭魔法引号的情况下可以盲注，不受ECShop内核过滤影响。这次不坑爹了
问题文件在/api/client/api.php
利用方法为POST

详细说明：

/api/client/api.php 第7行

dispatch($_POST);


/api/client/includes/lib_api.php 6 -10 行

$func_arr = array('GetDomain', 'UserLogin', 'AddCategory', 'AddBrand', 'AddGoods', 'GetCategory', 'GetBrand', 'GetGoods', 'DeleteBrand', 'DeleteCategory', 'DeleteGoods', 'EditBrand', 'EditCategory', 'EditGoods');
        if(in_array($post['Action'], $func_arr) && function_exists('API_'.$post['Action']))
        {
            return call_user_func('API_'.$post['Action'], $post);
        }


当$_POST['Action'] == 'UserLogin'的时候调用
/api/client/includes/lib_api.php 246 行

function API_UserLogin($post)
    {
        $post['username'] = isset($post['UserId']) ? trim($post['UserId']) : '';
        $post['password'] = isset($post['Password']) ? strtolower(trim($post['Password'])) : '';
        /* 检查密码是否正确 */
        $sql = "SELECT user_id, user_name, password, action_list, last_login".
        " FROM " . $GLOBALS['ecs']->table('admin_user') .
        " WHERE user_name = '" . $post['username']. "'";
        $row = $GLOBALS['db']->getRow($sql);
        if ($row)
        {
            if ($row['password'] != $post['password'])
            {
                client_show_message(103);
            }
            require_once(ROOT_PATH. ADMIN_PATH . '/includes/lib_main.php');
            // 登录成功
            set_admin_session($row['user_id'], $row['user_name'], $row['action_list'], $row['last_login']);
            // 更新最后登录时间和IP
            $GLOBALS['db']->query("UPDATE " .$GLOBALS['ecs']->table('admin_user').
            " SET last_login='" . gmtime() . "', last_ip='" . real_ip() . "'".
            " WHERE user_id='$_SESSION[admin_id]'");
            client_show_message(100, true, VERSION, 0, true, EC_CHARSET);
        }


其中USERID未经过滤且不受内核过滤影响，造成盲注漏洞

漏洞证明：

http://localhost/ecshop/api/client/api.php?Action=UserLogin&UserId=%27%20or%20user_id=1%23
注:为方便测试，我把代码里的POST方法改成GET，为了方便显示注入成功，我在执行SQL后插入适当代码使结果显示出来。真实环境并不显示如图结果

修复方案：

自己想咋过滤就咋过滤

版权声明：转载请注明来源 tenzy@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2011-10-10 14:37

厂商回复：

感谢提交，我们尽快处理

最新状态：

暂无

漏洞评价：

评论

  1. 2011-10-10 12:47 | 狗样的男人 ( 实习白帽子 | Rank:42 漏洞数:11 )

    额，牛淫

  2. 2011-10-11 09:04 | 笨子 ( 路人 | Rank:4 漏洞数:2 | 80759112)

    魔术变量 。。。。坐等公开

  3. 2011-10-11 13:58 | tenzy ( 普通白帽子 | Rank:176 漏洞数:21 | Need not to know)

    我发觉我再次坑爹了，使用GET方法来测试真是SB，好吧，请求管理员把我rank值还原，然后把此文章删除

  4. 2011-10-11 14:09 | tenzy ( 普通白帽子 | Rank:176 漏洞数:21 | Need not to know)

    PS:我不是来骗rank的。。。

  5. 2011-10-11 16:53 | Ray ( 实习白帽子 | Rank:75 漏洞数:7 )

    这次你没看错，虽然magic_quote_gpc关闭的少，但是这个漏洞存在，而且 if ($row['password'] != $post['password']){ client_show_message(103); }这句代码的存在，所以Mysql就算不报错，也很容易猜解数据库，没有太“盲”。

  6. 2011-10-11 17:17 | tenzy ( 普通白帽子 | Rank:176 漏洞数:21 | Need not to know)

    你POST看看。。有个$_POST['Json']覆盖了$_POST

  7. 2011-10-11 18:02 | Ray ( 实习白帽子 | Rank:75 漏洞数:7 )

    oh,my lady gaga ,return addslashes_deep_obj(json_decode(stripslashes($text),$type));,你果不其然的又把爹给坑了，不过能检查到自己的错误，其实也是一种成长，证明你是有这个能力的，只是鲁莽了，完整测试是有必要的，别忘记了。

  8. 2011-11-09 12:46 | Mason ( 路人 | Rank:13 漏洞数:2 | 厂商您总忽略我～情何以堪～情何以堪～)

    GBK的版本应该是可以利用的。

  9. 2011-11-09 15:00 | Finger 认证白帽子 ( 普通白帽子 | Rank:777 漏洞数:95 | 最近有人冒充该账号行骗，任何自称Finger并...)

    真是再次坑爹了