我爱网某站弱口令后台注入涉及商家信息泄漏(支持union)

漏洞概要

缺陷编号:WooYun-2015-0128409

漏洞标题:我爱网某站弱口令后台注入涉及商家信息泄漏(支持union)

相关厂商:55bbs.com

漏洞作者:路人甲

提交时间:2015-07-23 10:16

公开时间:2015-07-28 10:18

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:15

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

Tags标签:

漏洞详情

披露状态:

2015-07-23: 细节已通知厂商并且等待厂商处理中
2015-07-23: 厂商已查看当前漏洞内容,细节仅向厂商公开
2015-07-28: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

RT

详细说明:

后台地址

弱口令 lijun lijun123直接进去后台一个搜索处抓包

经测试参数select8为注入点 。直接丢sqlmap

有3个库。

漏洞证明:

表挺多的,有429张。其中也有一些商家的重要信息。

修复方案:

-。-

漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2015-07-2810:18

厂商回复:

漏洞Rank:15 (WooYun评价)

最新状态:

暂无

评价

  1. 2010-01-01 00:00 猫和老鼠 白帽子 | Rank:0 漏洞数:0)

    WooYun: 我爱购物网某后台设计缺陷/后台SQL注入/23W用户 根这个漏洞一模一样的,居然能过!

  2. 2010-01-01 00:00 ShAdow丶 白帽子 | Rank:70 漏洞数:5)

    @猫和老鼠 大哥 你不知道洞在公开前别人看不到的么?你交了只要厂商没修都算啊 再说你没看到厂商都忽略了?

  3. 2010-01-01 00:00 猫和老鼠 白帽子 | Rank:0 漏洞数:0)

    @ShAdow丶 逗比吧你,22号的提交 23号就重复提交,22号提交起码27号才忽略好不好! 没修复都算,那你再提交一次给我看看呗?

  4. 2010-01-01 00:00 ShAdow丶 白帽子 | Rank:70 漏洞数:5)

    @猫和老鼠 真逗 。谁告诉你22号叫起码27忽略?自己去看我被忽略的洞是什么时间 。

  5. 2010-01-01 00:00 猫和老鼠 白帽子 | Rank:0 漏洞数:0)

    @ShAdow丶 哎,小白就是小白,不确认5天自动忽略,这还不知道吗?你刚来? 22号提交的还没忽略, 23号就重复提交这个洞。你在逗我吗,还说忽略了,22号的洞,23号还没忽略,好么??亲

  6. 2010-01-01 00:00 ShAdow丶 白帽子 | Rank:70 漏洞数:5)

    @猫和老鼠 不懂装懂 你也是6啊 我自己匿名的洞我不知道时间?真逗 再说谁又告诉你是自动忽略的?厂商确认了想什么时候忽略不行?亲 你这么装b你家里人知道么?

  7. 2010-01-01 00:00 猫和老鼠 白帽子 | Rank:0 漏洞数:0)

    @ShAdow丶 一看就知道是刚来乌云没多久的,连about都没看清! 确认了漏洞就不能再次忽略,洞吗。 这都不懂还装懂,我了个去