神刀安全网

漏洞标题: p2p金融安全之易贷网某站存在SQL注入导致用户(真实姓名/银行卡/电话号码)等信息泄露

漏洞详情

披露状态:

2016-01-26: 细节已通知厂商并且等待厂商处理中
2016-01-26: 厂商已经确认,细节仅向厂商公开
2016-02-05: 细节向核心白帽子及相关领域专家公开
2016-02-15: 细节向普通白帽子公开
2016-02-25: 细节向实习白帽子公开
2016-03-10: 细节向公众公开

简要描述:

过滤不是你这么玩儿的.

详细说明:

存在注入点的URL为http://xyk.edai.com/xyk/shenqing/card/?cardId=2152,

漏洞标题:  p2p金融安全之易贷网某站存在SQL注入导致用户(真实姓名/银行卡/电话号码)等信息泄露

经过简单的测试方发现过滤了AND SELECT等常规的注入关键词。不过and可以使用or进行替换

漏洞标题:  p2p金融安全之易贷网某站存在SQL注入导致用户(真实姓名/银行卡/电话号码)等信息泄露

.然而select却被无情的替换为空

漏洞标题:  p2p金融安全之易贷网某站存在SQL注入导致用户(真实姓名/银行卡/电话号码)等信息泄露

然后想到既然是SELECT被替换为空了,如果使用SEL+SELECT+ECT来替代,然后替换了SELECT为空,不是又还原了SELECT了么。尝试了下,发现我的想法是即成立的

漏洞标题:  p2p金融安全之易贷网某站存在SQL注入导致用户(真实姓名/银行卡/电话号码)等信息泄露

果然出数据了。然后立马查看了下sqlmap的tamper里面的各种tamper,发现了一个类似的nonrecursivereplacement 主要是在("UNION", "SELECT", "INSERT", "UPDATE", "FROM", "WHERE")中间继续填充一个关键词。把UNION SELECT转换为UNIOUNIONN SELESELECTCT。然而这里我们测试发现仅仅需要替换select就可以了。于是稍作修改,丢到sqlmap里面试试

漏洞标题:  p2p金融安全之易贷网某站存在SQL注入导致用户(真实姓名/银行卡/电话号码)等信息泄露

。然后打算跑其中的某个表,发现返回结果为空.使用 -v 3 得到的语句丢到浏览器发现报错了

漏洞标题:  p2p金融安全之易贷网某站存在SQL注入导致用户(真实姓名/银行卡/电话号码)等信息泄露

。那么只能手工玩玩了。自己组合了一个语句丢进去

漏洞标题:  p2p金融安全之易贷网某站存在SQL注入导致用户(真实姓名/银行卡/电话号码)等信息泄露

成功报错出字段。使用burp跑了会

漏洞标题:  p2p金融安全之易贷网某站存在SQL注入导致用户(真实姓名/银行卡/电话号码)等信息泄露

漏洞证明:

sqlmap出表

漏洞标题:  p2p金融安全之易贷网某站存在SQL注入导致用户(真实姓名/银行卡/电话号码)等信息泄露

burp协助跑字段

漏洞标题:  p2p金融安全之易贷网某站存在SQL注入导致用户(真实姓名/银行卡/电话号码)等信息泄露

为了确保里面的信息正确,查看其中的10个内容

漏洞标题:  p2p金融安全之易贷网某站存在SQL注入导致用户(真实姓名/银行卡/电话号码)等信息泄露

包含银行卡,真实姓名,手机号,余额等~

修复方案:

版权声明:转载请注明来源 路人甲@乌云

转载本站任何文章请注明:转载至神刀安全网,谢谢神刀安全网 » 漏洞标题: p2p金融安全之易贷网某站存在SQL注入导致用户(真实姓名/银行卡/电话号码)等信息泄露

分享到:更多 ()

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址
分享按钮