ecshop的goods_attr和goods_attr_id两个二次注入漏洞

POST: goods={"quick":1,"spec":["163","158'"],"goods_id":32,"number":"1","parent":0}

function spec_price($spec)

{

    if (!empty($spec))

    {

        $where = db_create_in($spec, 'goods_attr_id');  //这里是注入位置，能控制$spec就可以了



$sql = 'SELECT SUM(attr_price) AS attr_price FROM ' . $GLOBALS['ecs']->table('goods_attr') . " WHERE $where";

        $price = floatval($GLOBALS['db']->getOne($sql));

    }

    else

    {

        $price = 0;

    }



    return $price;

}

/* 处理普通商品或非优惠的配件 */

else

            {

                $attr_id    = empty($goods['goods_attr_id']) ? array() : explode(',', $goods['goods_attr_id']); //看,$attr_id是读取的购物车商品的goods_attr_id字段，所以只要在添加商品到购物车时写入注入代码就可以了

$goods_price = get_final_price($goods['goods_id'], $val, true, $attr_id);



                //更新购物车中的商品数量

$sql = "UPDATE " .$GLOBALS['ecs']->table('cart').

                        " SET goods_number = '$val', goods_price = '$goods_price' WHERE rec_id='$key' AND session_id='" . SESS_ID . "'";

            }

/* 查询规格 */

if (trim($row['goods_attr']) != '')

        {

            $sql = "SELECT attr_value FROM " . $GLOBALS['ecs']->table('goods_attr') . " WHERE goods_attr_id " .

            db_create_in($row['goods_attr']); //goods_attr是购物车商品的属性，所以只要能控制注入代码进入购物车商品就ok了，这是二次注入的原因

$attr_list = $GLOBALS['db']->getCol($sql);

            foreach ($attr_list AS $attr)

            {

                $row['goods_name'] .= ' [' . $attr . '] '; //union select方式可以将数据库内容查询出来显示到页面上

}

        }

/*------------------------------------------------------ */

//-- 加入购物车

/*------------------------------------------------------ */

elseif ($_REQUEST['act'] == 'add_to_cart')

{

    /* 取得参数 */

    $act_id         = intval($_POST['act_id']);

    $goods_number   = $_POST['goods_number'][$act_id];

    $attr_id        = isset($_POST['attr_id']) ? $_POST['attr_id'] : array();

    if(isset($attr_id[$act_id]))

    {

        $goods_attr     = $attr_id[$act_id];  //可控，可以参考我在截图里构造的提交数据

}

…

/* 插入订单商品 */

foreach ($_SESSION['wholesale_goods'] as $goods)

    {

        //如果存在货品

$product_id = 0;

        if (!empty($goods['goods_attr_id']))

        {

            $goods_attr_id = array();

            foreach ($goods['goods_attr_id'] as $value)

            {

                $goods_attr_id[$value['attr_id']] = $value['attr_val_id'];

            }



            ksort($goods_attr_id);

            $goods_attr = implode('|', $goods_attr_id);



            $sql = "SELECT product_id FROM " . $ecs->table('products') . " WHERE goods_attr = '$goods_attr' AND goods_id = '" . $goods['goods_id'] . "'";

            $product_id = $db->getOne($sql);

        }



        $sql = "INSERT INTO " . $ecs->table('order_goods') . "( " .

                    "order_id, goods_id, goods_name, goods_sn, product_id, goods_number, market_price, ".

                    "goods_price, goods_attr, is_real, extension_code, parent_id, is_gift) ".

                " SELECT '$new_order_id', goods_id, goods_name, goods_sn, '$product_id','$goods[goods_number]', market_price, ".

                    "'$goods[goods_price]', '$goods[goods_attr]', is_real, extension_code, 0, 0 ".

                " FROM " .$ecs->table('goods') .

                " WHERE goods_id = '$goods[goods_id]'";

        $db->query($sql);

...

        // 要返回购物车的商品  //约923行

$return_goods = array(

            'goods_id'      => $row['goods_id'],

            'goods_sn'      => addslashes($goods['goods_sn']),

            'goods_name'    => addslashes($goods['goods_name']),

            'market_price'  => $goods['market_price'],

            'goods_price'   => $goods['goods_price'],

            'goods_number'  => $row['goods_number'],

            'goods_attr'    => empty($row['goods_attr']) ? '' : addslashes($row['goods_attr']),  //看过来，重点在这，$row是订单商品，虽然addslashes了，但这是二次注入，最终会从数据库里再出来进入查询（见1的代码分析）

'goods_attr_id'    => empty($row['goods_attr_id']) ? '' : $row['goods_attr_id'],

            'is_real'       => $goods['is_real'],

            'extension_code'=> addslashes($goods['extension_code']),

            'parent_id'     => '0',

            'is_gift'       => '0',

            'rec_type'      => CART_GENERAL_GOODS

        );

...