返利+SQL注入漏洞可随意登陆

漏洞详情

披露状态:

2014-04-10: 积极联系厂商并且等待厂商认领中,细节不对外公开
2014-05-25: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

返利+(www.fanli.com)通过sql注入可以随意登录

详细说明:

返利+(www.fanli.com)通过sql注入可以随意登录,测试时登录的某些账户有V币和现金,站点高级别的用户可以提现和用V币充话费

漏洞证明:

QQ截图20140410131614.png

QQ截图20140410131640.png

通过sql注入登录的用户名为123456的账户

QQ截图20140410114915.png

QQ截图20140410115646.png

测试时发现一个账户有现金

修复方案:

加强登录时特殊字符的过滤,通过参数来传递用户输入变量

版权声明:转载请注明来源 召唤夜@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝


漏洞评价: