当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-086855

漏洞标题:Iwebmall 最新版SQL注入第六枚(漏洞打包)

相关厂商:Jooyea

漏洞作者: 路人甲

提交时间:2014-12-12 16:38

修复时间:2015-03-12 16:40

公开时间:2015-03-12 16:40

漏洞类型:SQL注射漏洞

危害等级:中

自评Rank:10

漏洞状态:未联系到厂商或者厂商积极忽略

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-12-12: 积极联系厂商并且等待厂商认领中,细节不对外公开
2015-03-12: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

Iwebmall 最新版SQL注入第六枚

详细说明:

看到wooyun上有人提了几个iweb的漏洞( WooYun: iwebmall商城程序sql注入WooYun: Iwebsns sql 第五枚。 ),我来捡捡漏儿吧,希望不要重复。
先把注入点拿出来:www.xxx.com/do.php?/do.php?act=add_transport_template ,POST的内容中有两个参数(transport_name和description)存在注入。
action/goods/add_transport_template.php

无关代码
$shop_id = intval(get_args('shop_id'));
$post = $_POST;
if (!isset($post['transport_type'])) {
action_return(0,$m_langpackage->m_search_type."!","modules.php?app=goods_list");
exit;
}
$arr = array();
$info['transport_name']=$post['transport_name'];
$info['description'] = $post['description'];
foreach ($post['transport_type'] as $k=>$v){
$arr[$v]=array();
}
//查询开启的配送方式
$sql = "select * from $t_transport where ifopen=1";
$tran_list=$dbo->getRs($sql);

//循环获得前台传来的值,通过tranid字段作为数组下标
foreach ($tran_list as $val){
$arr[$val['tranid']]['frist']=$post['frist'.$val['tranid']];
$arr[$val['tranid']]['second']=$post['second'.$val['tranid']];
if(isset($post['ord_item_dest'.$val['tranid']])){
foreach ($post['ord_item_dest'.$val['tranid']] as $k=>$v){
$v = substr($v,0,-1);
$areaarr = explode(",",$v);
foreach ($areaarr as $key=>$value){
$arr[$val['tranid']][$value]=array("frist"=>$post['ord_area_frist'.$val['tranid']][$k],"second"=>$post['ord_area_second'.$val['tranid']][$k]);
}
}
}
}
$info['shop_id']= get_sess_shop_id();
$info['content'] = serialize($arr);
if ($dbo->createbyarr($info,$t_transport_template)) {
action_return(1,$m_langpackage->m_add_success."!","modules.php?app=goods_list");
}else{
echo "no";
}
无关代码


当通过POST方法提交transport_name和description时,由于没有对其进行过滤,因此这里可以注入。Iweb没有错误回显,这里用time-based blind进行注入测试。
测试时:登陆后访问如上的请求,抓包,按上面的payload进行修改即可。
因为是time-based blind 注入,猜测管理员用户名的第三个字母时,若错误,延迟2s左右,如下图

猜测错误副本.jpg


若正确,延迟5s左右,如下图

猜测成功副本.jpg


按上面的方法依次做下去(burp intruder或者自己写个脚本跑),可测试管理员用户名为:admin,密码为: 21232f297a57a5a743894a0e4a801fc3

漏洞证明:

见 详细说明

修复方案:

过滤

版权声明:转载请注明来源 路人甲@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝