ECSHOP php商城系统过滤不严导致SQL注入漏洞

影响版本:
ecshop 2.7.2 release 0604
程序介绍:
ecshop是一款开源免费的网上商店系统。由专业的开发团队升级维护，为您提供及时高效的技术支持，您还可以根据自己的商务特征对ecshop进行定制，增加自己商城的特色功能。
漏洞分析:
在include_libcommon.php中存在如下函数

php code复制内容到剪贴板

1. function get_package_info($id)      
2. {      
3.     global $ecs, $db,$_cfg;      
4.       
5.     $now = gmtime();      
6.       
7.     $sql = "select act_id as id,  act_name as package_name, goods_id , goods_name, start_time, end_time, act_desc, ext_info".      
8.            " from " . $globals['ecs']->table('goods_activity') .      
9.            " where act_id='$id' and act_type = " . gat_package;      
10.       
11.     $package = $db->getrow($sql);      
12.       
13.     /* 将时间转成可阅读格式 */      
14.     if ($package['start_time'] <= $now && $package['end_time'] >= $now)      
15.     {      
16.         $package['is_on_sale'] = "1";      
17.     }      
18.     else      
19.     {      
20.         $package['is_on_sale'] = "0";      
21.     }      
22.     $package['start_time'] = local_date('y-m-d h:i', $package['start_time']);      
23.     $package['end_time']   = local_date('y-m-d h:i', $package['end_time']);      
24.     $row = unserialize($package['ext_info']);      
25.     unset($package['ext_info']);      
26.     if ($row)      
27.     {      
28.         foreach ($row as $key=>$val)      
29.         {      
30.             $package[$key] = $val;      
31.         }      
32.     }      
33.       
34.     $sql = "select pg.package_id, pg.goods_id, pg.goods_number, pg.admin_id, ".      
35.            " g.goods_sn, g.goods_name, g.market_price, g.goods_thumb, g.is_real, ".      
36.            " ifnull(mp.user_price, g.shop_price * '$_session[discount]') as rank_price " .      
37.            " from " . $globals['ecs']->table('package_goods') . " as pg ".      
38.            "   left join ". $globals['ecs']->table('goods') . " as g ".      
39.            "   on g.goods_id = pg.goods_id ".      
40.            " left join " . $globals['ecs']->table('member_price') . " as mp ".      
41.                 "on mp.goods_id = g.goods_id and mp.user_rank = '$_session[user_rank]' ".      
42.            " where pg.package_id = " . $id. " ".      
43.            " order by pg.package_id, pg.goods_id";      
44.       
45.     $goods_res = $globals['db']->getall($sql);      
46.       
47.     $market_price        = 0;    

其中$id没有经过严格过滤就直接进入了sql查询，导致一个sql注射漏洞。
在系统的lib_order.php中存在一个该函数的调用

php code复制内容到剪贴板

1. function add_package_to_cart($package_id, $num = 1)      
2. {      
3.     $globals['err']->clean();      
4.     /* 取得礼包信息 */      
5.     $package = get_package_info($package_id);      
6.     if (emptyempty($package))      
7.     {      
8.         $globals['err']->add($globals['_lang']['goods_not_exists'], err_not_exists);      
9.         return false;      
10.     }  

在flow.php中存在可控的输入源

php code复制内容到剪贴板

1. $package = $json->decode($_post['package_info']);      
2.     /* 如果是一步购物，先清空购物车 */      
3.     if ($_cfg['one_step_buy'] == '1')      
4.     {      
5.         clear_cart();      
6.     }      
7.     /* 商品数量是否合法 */      
8.     if (!is_numeric($package->number) || intval($package->number) <= 0)      
9.     {      
10.         $result['error']   = 1;      
11.         $result['message'] = $_lang['invalid_number'];      
12.     }      
13.     else      
14.     {      
15.         /* 添加到购物车 */      
16.         if (add_package_to_cart($package->package_id, $package->number))      
17.         {      
18.             if ($_cfg['cart_confirm'] > 2)   

$package->package_id来源于输入
解决方案:
厂商补丁
ecshop
----------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：
http://www.ecshop.com
信息来源:
来源: wooyun