您的位置 » 首页 » 代码审计,实用工具 » 代码审计:Shopex ctl.passport.php文件SQL注入漏洞分析报告

代码审计:Shopex ctl.passport.php文件SQL注入漏洞分析报告

发表于4年前 | 作者: seay | 分类: 代码审计, 实用工具 | 孵化于:2013年09月05日 | 文章热度:5,334 次 全屏阅读

显示不全请点击全屏阅读

这个漏洞已经公布了,在公司做的漏洞分析,随便就分享下这个文档。


漏洞作者blue,

漏洞利用请看:http://www.cnseay.com/3339/

   部分代码zend加密,分析之前需要解密。

黑刀下载地址:

http://pan.baidu.com/share/link?shareid=126998888&uk=4045637737

漏洞在注册的地方,于文件\core\shop\controller\ctl.passport.php文件

 

223create 函数

function create() {
        $account = &$this->system->loadModel('member/account');  //  载入account'模块,文件在
        $passport = &$this->system->loadModel('member/passport');
 
。。。。。。。
if( !$info = $account->create($_POST,$message) ) {
            $this->splash('failed','back',$message,'','',$_POST['from_minipassport']);
        }

 

关键在$account->create($_POST,$message),直接把$_POST变量传过去了,这个变量里面是保存我们POST上来的所有数据。继续跟进,

core\model_v5\member\mdl.account.php

把注册数据放到数据库。

看到310行的create函数。

public function create( $data, &$message )
         {
…………
                   getrefer( $data );
                   $sql = $this->db->getInsertSQL( $rs, $data );

 

Getrefer函数不用管它,跟进getInsertSQL,在文件core\include_v5\ AloneDB.php

public function GetInsertSQL( &$rs, $data, $autoup = false )
 {
        if ( !function_exists( "db_get_insert_sql" ) )
        {
              require( CORE_INCLUDE_DIR."/core/db.tools.php" );
        }
        return db_get_insert_sql( $this, $rs, $data, $autoup );
 }

 

这只是把$data传到了db_get_insert_sql函数,继续跟进这个函数

core\include_v5\ db.class.php文件找到了

这里foreach了一下,最终之前多POST的一个member_id也被带入到数据库。

foreach ( $data as $key => $value )
 {
        $data[strtolower( $key )] = $value;
 }

继续到下面

 

$insertValues = array( );
$col_count = mysql_num_fields( $rs['rs'] );
$i = 0;
for ( ;         $i < $col_count;        ++$i )
{
       $column = mysql_fetch_field( $rs['rs'], $i );
       if ( isset( $data[$column->name] ) )
       {
             $insertValues[$column->name] = db_quotevalue( $db, $data[$column->name], $column->type );
       }
}
$strValue = implode( ",", $insertValues );
$strFields = implode( "`,`", array_keys( $insertValues ) );
mysql_field_seek( $rs['rs'], 0 );
return "INSERT INTO `".$tableName."` ( `".$strFields."` ) VALUES ( ".$strValue." )";

 

最后一行带入到数据库,导致注入产生。

所以这个漏洞利用,只需要我们在注册的时候多POST一个member_id就可以注入。exp就不提供了

带一个我们Safekey团队的一个图,大家可以意淫下其他地方,像大C说的一样,注入就不少了,大C之前死磕了shopex一段时间,phpbug就死磕phpcms v9

 

解决方案:升级官网补丁http://bbs.shopex.cn/read.php?tid-303282.html

Tags:

ShopEx漏洞, 代码审计,

如果您喜欢我的博客,欢迎点击图片定订阅到邮箱填写您的邮件地址,订阅我们的精彩内容: 也可以点击链接【订阅到鲜果】

如果我的想法或工具帮助到了你,也可微信扫下方二维码打赏本人一杯咖啡


来自 Seay互联网安全博客
本文地址:http://www.cnseay.com/3341/
文章版权说明请看置顶文章,尊重作者,转载请以链接形式标明原文地址

马上分享给你的朋友吧~

发表评论

你的大名(必填)

你的邮箱(必填)

评论内容(必填)