当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-046947

漏洞标题：PHPSHE电商程序SQL注入4

相关厂商：phpshe.com

漏洞作者： xfkxfk

提交时间：2013-12-25 10:45

修复时间：2014-03-22 10:45

公开时间：2014-03-22 10:45

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-12-25： 细节已通知厂商并且等待厂商处理中
2013-12-30： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2014-02-23： 细节向核心白帽子及相关领域专家公开
2014-03-05： 细节向普通白帽子公开
2014-03-15： 细节向实习白帽子公开
2014-03-22： 细节向公众公开

简要描述：

PHPSHE电商程序SQL注入漏洞#4

详细说明：

在删除购物车商品时，参数未过滤直接带入sql语句执行，导致SQL注入。
在/module/index/order.php文件：

//#####################@ 购物车商品删除 @#####################//
	case 'cartdel':
		$money['order_productmoney'] = $money['order_wlmoney'] = $money['order_money'] = 0;
		if (pe_login('user')) {
			$result = $db->pe_delete('cart', array('user_id'=>$_s_user_id, 'product_id'=>$_g_product_id));//漏洞存在这里
		}
		else {
			$cart_list = unserialize($_c_cart_list);
			unset($cart_list[$_g_product_id]);
			$result = is_array($cart_list[$_g_product_id]) ? false : true;
			setcookie('cart_list', serialize($cart_list), 0, '/');
		}
		$cart_info = cart_info($cart_list);
		echo json_encode(array('result'=>$result, 'money'=>$cart_info['money']));
	break;


Pe_delect函数/include/class/db.class.php如下：

public function pe_delete($table, $where = '')
	{
		//处理条件语句
		$sqlwhere = $this->_dowhere($where);
		return $this->sql_delete("delete from `".dbpre."{$table}` {$sqlwhere}");
	}
protected function _dowhere($where)
	{
		if (is_array($where)) {
			foreach ($where as $k => $v) {
				if (is_array($v)) {
					$where_arr[] = "`{$k}` in('".implode("','", $v)."')";			
				}
				else {
					in_array($k, array('order by', 'group by')) ? ($sqlby = " {$k} {$v}") : ($where_arr[] = "`{$k}` = '{$v}'");
				}
			}
			$sqlwhere = is_array($where_arr) ? 'where '.implode($where_arr, ' and ').$sqlby : $sqlby;
		}
		else {
			$where && $sqlwhere = (stripos(trim($where), 'order by') === 0 or stripos(trim($where), 'group by') === 0) ? "{$where}" : "where 1 {$where}";
		}
		return $sqlwhere;
	}
public function sql_delete($sql)
	{
		$this->query($sql);
		$result = mysql_affected_rows();
		return $result > 0 ? $result : 0;
	}


参数$_g_product_id没有过滤直接进入delete语句中导致sql注入。

漏洞证明：

我们来删除购物车中的商品，在product_id参数处，加入错误的sql语句：

3.png


我们的sql语句带入执行了，条件不成立，result返回为0，删除失败。

4.png


输入正确的sql语句，条件成了，删除成功，然会为1.

修复方案：

过滤

版权声明：转载请注明来源 xfkxfk@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-03-22 10:45

厂商回复：

最新状态：

2014-05-19：感谢@xfkxfk 提供代码审计，sql注入漏洞已修复！