当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-096382

漏洞标题：Iwebshop 最新版绕过补丁注入两处

相关厂商：jooyea.com

漏洞作者： 路人甲

提交时间：2015-04-09 12:35

修复时间：2015-07-13 12:37

公开时间：2015-07-13 12:37

漏洞类型：SQL注射漏洞

危害等级：中

自评Rank：10

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-04-09： 细节已通知厂商并且等待厂商处理中
2015-04-14： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2015-06-08： 细节向核心白帽子及相关领域专家公开
2015-06-18： 细节向普通白帽子公开
2015-06-28： 细节向实习白帽子公开
2015-07-13： 细节向公众公开

简要描述：

Iwebshop 最新版绕过补丁注入两处

详细说明：

看到iwebshop在2015.01.26又更新了（v3.0.15011000），看了看更新说明，说已经修改了wooyun上的漏洞，就下下来看看是怎么修复的吧。
注入：POST /index.php?controller=seller&action=goods_report 上一个版本时，POST参数中的search作为一个数组传入，search的KEY 过滤不完全，注入成功，这次补丁已后，KEY已经不作为参数传入SQL了，而是把KEY作为search数组的一个参数传入，但是这里又忘记了过滤，可以time-based blind 注入。
文件在/controllers/seller.php的goods_report()方法中
看看代码/controllers/seller.php

public function goods_report()
	{
		$seller_id = $this->seller['seller_id'];
		$condition = Util::search(IReq::get('search'));
		$where  = 'go.seller_id='.$seller_id;
		$where .= $condition ? " and ".$condition : "";
		$goodHandle = new IQuery('goods as go');
		$goodHandle->order  = "go.id desc";
		$goodHandle->fields = "go.*";
		$goodHandle->where  = $where;
		$goodList = $goodHandle->find();
无关代码


condition是这样获得的$condition = Util::search(IReq::get('search'));
，去看看Util::search

/**
	 * 检索自动执行
	 * @param array $search 查询拼接规则， key => like,likeValue
	 */
	public static function search($search)
	{
		if(!$search)
		{
			return '';
		}
		$where = array();
		//like子句处理
		if(isset($search['like']) && $search['likeValue'])
		{
			$where[] = $search['like']." like '%".$search['likeValue']."%'";
		}
		unset($search['like']);
		unset($search['likeValue']);
		//自定义子句处理
		foreach($search as $key => $val)
		{
			if($val === '')
			{
				continue;
			}
			if(strpos($key,'num') !== false)
			{
				$where[] = $key.$val;
			}
			else
			{
				$where[] = $key."'".$val."'";
			}
		}
		return join(" and ",$where);
	}


没有经过任何处理，$search['like']和$search['likeValue']带入了find()
再去看看$goodHandle->find()

public function find()
	{		
        if( is_int($this->page) )
        {        	
        	$sql="select $this->distinct $this->fields from $this->table $this->join $this->where $this->group $this->having $this->order";
			$pagesize = isset($this->pagesize)?intval($this->pagesize):20;
            $pagelength = isset($this->pagelength)?intval($this->pagelength):10;
            $this->paging = new IPaging($sql,$pagesize,$pagelength);
            return $this->paging->getPage($this->page);
		}
		else
        {        
            $sql="select $this->distinct $this->fields from $this->table $this->join $this->where $this->group $this->having $this->order $this->limit";           
            return $this->dbo->query($sql);
        }
	}


同样没有作防注处理，注入成功。
测试方法：申请开店后，登录商家管理，在商品列表页导出Excel（这里先给自己的店铺添加一件商品）。
Payload:POST提交(加速乐不让贴代码啊，载个图吧)

payload.JPG


因为是time-based blind 注入，猜测管理员用户名的第一个字母时，若错误，延迟2s左右，如下图

注入失败副本.jpg


若正确，延迟3s左右（和数据库中的记录有关,可只添加一件商品）如下图

注入成功副本.jpg


按上面的方法依次做下去（burp intruder或者自己写个脚本跑），可测试管理员用户名为：admin，密码为： f6fdffe48c908deb0f4c3bd36c032e72

漏洞证明：

见详细说明

修复方案：

过滤

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2015-07-13 12:37

厂商回复：

漏洞Rank：8 (WooYun评价)

最新状态：

暂无