彩虹云商城漏洞

彩虹云商城那个SQL注入点，彩虹城漏我盯了快两周。云商后台登录接口的彩虹城漏username参数没做过滤，直接拼进查询语句。云商用' or 彩虹城漏'1'='1这种老掉牙的payload就能绕过验证，但真正要命的云商是UNION SELECT能拖出整个用户表——包括手机号、收货地址、彩虹城漏甚至部分明文存储的云商支付密码。

这商城做的彩虹城漏是社区团购生意，用户量不大，云商大概两三万活跃。彩虹城漏但漏洞不止这一个。云商商品详情页的彩虹城漏id参数同样存在注入，我试着手工注入时发现数据库是云商MySQL 5.7，没开secure_file_priv限制。彩虹城漏这意味着如果权限够，直接能往服务器写webshell。不过当前数据库账户是普通用户权限，FILE特权没给，这条路暂时堵死。

真正让我意外的是越权。用户中心有个/api/order/detail?order_id=接口，只校验了登录状态，没校验订单归属。我用自己的账号登录后，把order_id从10001遍历到10050，看到了别人的订单详情——收货人姓名、电话、家庭住址全在。更离谱的是，订单状态修改接口/api/order/cancel同样没做归属校验，我随手取消了三个陌生用户的待发货订单。

文件上传这块也有问题。头像上传只检查了Content-Type，改包把image/jpeg换成text/html，传了个.html文件上去，返回的URL直接能访问。虽然没解析成PHP，但用来做钓鱼页足够了。我传了个模拟登录页，把链接发给朋友测试，他差点中招。

支付逻辑的漏洞更隐蔽。下单时total_price参数是前端传的，后端没重新计算。我把0.01元的商品数量改成100，总价改成0.01，提交后订单竟然创建成功。虽然支付网关那边会校验金额，但订单已经生成，库存被扣了。要是配合并发请求，能把库存刷空。

这些漏洞堆在一起，说明开发团队压根没做安全测试。代码里能看到ThinkPHP 5.0的痕迹，这个版本本身就有多个已知RCE漏洞。我试了index.php?s=index/\think\app/invokefunction那个经典payload，没成功，可能打了补丁。但captcha接口的id参数存在SQL注入，能直接拖库。

我通过注入拿到了管理员表，密码是md5加盐，盐值硬编码在config.php里。用hashcat跑了两小时，管理员密码是admin123。登进后台后，发现还有getshell的捷径——模板管理功能能直接编辑.html文件，写入PHP代码后访问对应页面就行。

整个渗透过程没用到什么高级技术，全是基础漏洞。SQL注入、越权、文件上传、支付篡改，随便一个都能造成数据泄露或资金损失。商城至今还在运行，漏洞应该还在。我提交了CNVD，但没收到回复。写这篇文章不是教人攻击，是想说——这种水平的代码能上线运营，安全圈之外的世界比想象中粗糙得多。