中国新闻网分站存在POST SQL注射漏洞(可登录后台与PMA)

漏洞详情

披露状态:

2014-02-27: 积极联系厂商并且等待厂商认领中,细节不对外公开
2014-04-13: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

RT

详细说明:

中国新闻网分站存在SQL注射漏洞

问题站点:http://table.chinanews.com/vote2008/login.php

POST注入地址:

http://table.chinanews.com/vote2008/view_results.php?sid=532 submit=%CD%B6%C6%B1&item1055%5B%5D=3877

SQLMAP跑DB信息:

QQ截图20140206100619.png



跑neikan库的ww_admin数据:

QQ截图20140206113359.png

漏洞证明:

内刊后台登录:

http://zxnk.chinanews.com/zxzx.php

QQ截图20140206113000.png



phpmyadmin登录:

QQ截图20140206112907.png



修复方案:

关键字过滤

版权声明:转载请注明来源 爱上襄阳@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝


漏洞评价: