易想购物（easethink）存在sql注入漏洞，附利用测试POC | wooyun-2013-022023

漏洞概要关注数(24) 关注此漏洞

缺陷编号：

wooyun-2013-022023

漏洞标题：

易想购物（easethink）存在sql注入漏洞，附利用测试POC

漏洞详情

披露状态：

2013-04-17：积极联系厂商并且等待厂商认领中，细节不对外公开
2013-07-16：厂商已经主动忽略漏洞，细节向公众公开

简要描述：

易想购物cms存在注入漏洞，剩下的自己YY了。

详细说明：

根目录下message.php页面存在关键字过滤不严谨的问题。
出问题的代码如下

if($_REQUEST['act'] == 'add')   //request获取的act变量只有这个if后面就没有判读过了，导致了注入
{
	if(!$user_info)
	{
		showErr($GLOBALS['lang']['PLEASE_LOGIN_FIRST']);
	}
.
.
.
.
else
{
	$rel_table = $_REQUEST['act'];
	//echo "select * from ".DB_PREFIX."message_type where type_name='".$rel_table."'"; //这句是自己添加的演示语句，一会可以查看到被注入的语句
	$message_type = $GLOBALS['db']->getRowCached("select * from ".DB_PREFIX."message_type where type_name='".$rel_table."'");
	
	if(!$message_type||$message_type['is_fix']==0)
	{
		$message_type_list = $GLOBALS['db']->getAllCached("select * from ".DB_PREFIX."message_type where is_fix = 0 order by sort desc");
		if(!$message_type_list)
		{
			showErr($GLOBALS['lang']['INVALID_MESSAGE_TYPE']);
		}
		else
		{
			if(!$message_type)
			$message_type = $message_type_list[0];
			foreach($message_type_list as $k=>$v)
			{
				if($v['type_name'] == $message_type['type_name'])
				{
					$message_type_list[$k]['current'] = 1;
				}
				else
				{
					$message_type_list[$k]['current'] = 0;
				}
			}
			$GLOBALS['tmpl']->assign("message_type_list",$message_type_list);
		}
	}
.
.
.
.
.

漏洞证明：

图片一句是插入自定义sql语句后生成的注入语句
很明显的注入了

修复方案：

还是对关键字的过滤问题

版权声明：转载请注明来源 lxsec@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

漏洞Rank：13 (WooYun评价)

WooYun.org

漏洞概要 关注数(24) 关注此漏洞