前言

最近看了下tpshop，审计出几个鸡肋的漏洞，这个SQL注入漏洞是其中之一。然后审计完网上搜了一下发现有一堆后台的sql注入漏洞，应该是觉得后台的SQL不用修叭（我个人是可以理解的）。

网站建设公司,为您提供网站建设,网站制作,网页设计及定制网站建设服务,专注于成都定制网页设计,高端网页制作,对成都自拌料搅拌车等多个行业拥有丰富的网站建设经验的网站建设公司。专业网站设计,网站优化推广哪家好,专业营销推广优化,H5建站,响应式网站。

漏洞触发点

首先要登录后台，这也是我说漏洞很鸡肋的原因。
漏洞位于在后台的商城-》文章->文章列表处的搜索

抓包，存在漏洞的参数是keywords，当输入payload
' or length(database())=10)#时，页面返回文章数0，

而当输入payload' or length(database())=9)#时，页面返回为共33篇文章（总共33篇，数据库名是tpshop2.0）

因此可以通过布尔注入来获取数据库信息，当然延时也可以，只不过我自己是能不用延时就不用延时的人。

漏洞成因，分析下代码

分析下代码，原因很简单，where直接拼接了。并且会将查询到的结果返回到页面中。
application/admin/controller/Article.php:56

        $keywords = trim(I('keywords'));
        $keywords && $where.=" and title like '%$keywords%' ";
        $cat_id = I('cat_id',0);
        $cat_id && $where.=" and cat_id = $cat_id ";
        $res = $Article->where($where)->order('article_id desc')->page("$p,$size")->select();
        $count = $Article->where($where)->count();// 查询满足要求的总记录数
        $pager = new Page($count,$size);// 实例化分页类 传入总记录数和每页显示的记录数
        //$page = $pager->show();//分页显示输出

        $ArticleCat = new ArticleCatLogic();
        $cats = $ArticleCat->article_cat_list(0,0,false);
        if($res){
         foreach ($res as $val){
          $val['category'] = $cats[$val['cat_id']]['cat_name'];
          $val['add_time'] = date('Y-m-d H:i:s',$val['add_time']);          
          $list[] = $val;
         }
        }
        $this->assign('cats',$cats);
        $this->assign('cat_id',$cat_id);
        $this->assign('list',$list);// 赋值数据集
        $this->assign('pager',$pager);// 赋值分页输出        
 return $this->fetch('articleList');

最后执行的sql语句为：

其他

我在用payload的时候用的是=,是因为输入做了过滤，会转义> <，用大于号不能直接执行sql，会报错。

另外有需要云服务器可以了解下创新互联cdcxhl.cn，海内外云服务器15元起步，三天无理由+7*72小时售后在线，公司持有idc许可证，提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案，具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势，专为企业上云打造定制，能够满足用户丰富、多元化的应用场景需求。

文章题目：某shop后台sql注入漏洞-创新互联
当前路径：http://chengdu.cdxwcx.cn/article/dgiije.html