缺陷编号:WooYun-2015-0127635
漏洞标题:中粮我买网某旗下系统SQL注入漏洞可查询主页会员信息
相关厂商:中粮我买网
漏洞作者:路人甲
提交时间:2015-07-19 10:19
公开时间:2015-09-03 14:00
漏洞类型:SQL注射漏洞
危害等级:高
自评Rank:15
漏洞状态:厂商已经确认
Tags标签:
2015-07-19: 细节已通知厂商并且等待厂商处理中
2015-07-20: 厂商已经确认,细节仅向厂商公开
2015-07-30: 细节向核心白帽子及相关领域专家公开
2015-08-09: 细节向普通白帽子公开
2015-08-19: 细节向实习白帽子公开
2015-09-03: 细节向公众公开
中粮我买网某旗下系统SQL注入漏洞
http://219.143.252.247:8083/
1 2 3 4 5 6 7 8 9 |
System.Data.OleDb.OleDbException: ORA-01756: 引号内的字符串没有正确结束<br> at System.Data.OleDb.OleDbCommand.ProcessResults(OleDbHResult hr)<br> at System.Data.OleDb.OleDbCommand.InitializeCommand(CommandBehavior behavior, Boolean throwifnotsupported)<br> at System.Data.OleDb.OleDbCommand.ExecuteCommand(CommandBehavior behavior, Object& executeResult)<br> at System.Data.OleDb.OleDbCommand.ExecuteReaderInternal(CommandBehavior behavior, String method)<br> at System.Data.OleDb.OleDbCommand.ExecuteReader(CommandBehavior behavior)<br> at Studio.DBProc.GetDR(String as_sqlstr)<br> at Studio.ws_member.CheckWebCallUser(String strUserCode, String strPassword)<br> at Studio.ws_member.CheckCallUser(String strCallUserCode, String strCallPassword) |
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 |
available databases [26<br> [*] CTXSYS<br> [*] DBSNMP<br> [*] DMSYS<br> [*] EXFSYS<br> [*] HQDYC<br> [*] HQTEST<br> [*] HR<br> [*] IX<br> [*] JCHT<br> [*] JOYCITY<br> [*] MDSYS<br> [*] OE<br> [*] OLAPSYS<br> [*] ORDSYS<br> [*] OUTLN<br> [*] PM<br> [*] SCOTT<br> [*] SH<br> [*] SYS<br> [*] SYSMAN<br> [*] SYSTEM<br> [*] TSMSYS<br> [*] WMSYS<br> [*] XDB<br> [*] XY<br> [*] YYAPP |
http://219.143.252.247:8089/大悦城会员客服中心,好像是跟我买网有绑定。因为存在SQL注入漏洞,可以从数据库里面查询密码等,但是我嫌麻烦,还是用未授权访问漏洞比较快。
看了下上传图片的代码,还是可以绕过的。
好像还存在padding oracle漏洞。我没尝试,厂商自测把。http://219.143.252.247:8089/WebResource.axd?d=zxSv9Rq4FwMnAcSYmjZ3_w2&t=635019044510449851还有一个大悦城分站注入。
http://219.143.252.247:8083/
1 2 3 4 5 6 7 8 9 |
System.Data.OleDb.OleDbException: ORA-01756: 引号内的字符串没有正确结束<br> at System.Data.OleDb.OleDbCommand.ProcessResults(OleDbHResult hr)<br> at System.Data.OleDb.OleDbCommand.InitializeCommand(CommandBehavior behavior, Boolean throwifnotsupported)<br> at System.Data.OleDb.OleDbCommand.ExecuteCommand(CommandBehavior behavior, Object& executeResult)<br> at System.Data.OleDb.OleDbCommand.ExecuteReaderInternal(CommandBehavior behavior, String method)<br> at System.Data.OleDb.OleDbCommand.ExecuteReader(CommandBehavior behavior)<br> at Studio.DBProc.GetDR(String as_sqlstr)<br> at Studio.ws_member.CheckWebCallUser(String strUserCode, String strPassword)<br> at Studio.ws_member.CheckCallUser(String strCallUserCode, String strCallPassword) |
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 |
available databases [26<br> [*] CTXSYS<br> [*] DBSNMP<br> [*] DMSYS<br> [*] EXFSYS<br> [*] HQDYC<br> [*] HQTEST<br> [*] HR<br> [*] IX<br> [*] JCHT<br> [*] JOYCITY<br> [*] MDSYS<br> [*] OE<br> [*] OLAPSYS<br> [*] ORDSYS<br> [*] OUTLN<br> [*] PM<br> [*] SCOTT<br> [*] SH<br> [*] SYS<br> [*] SYSMAN<br> [*] SYSTEM<br> [*] TSMSYS<br> [*] WMSYS<br> [*] XDB<br> [*] XY<br> [*] YYAPP |
http://219.143.252.247:8089/大悦城会员客服中心,好像是跟我买网有绑定。因为存在SQL注入漏洞,可以从数据库里面查询密码等,但是我嫌麻烦,还是用未授权访问漏洞比较快。
看了下上传图片的代码,还是可以绕过的。
好像还存在padding oracle漏洞。我没尝试,厂商自测把。http://219.143.252.247:8089/WebResource.axd?d=zxSv9Rq4FwMnAcSYmjZ3_w2&t=635019044510449851还有一个大悦城分站注入。
危害等级:中
漏洞Rank:10
确认时间:2015-07-2013:58
洞主您好,很高兴能收到您的漏洞,经过查看漏洞发现此漏洞不属于中粮我买网,应该是中粮大悦城的漏洞。这里非常感谢。我会联系相关公司处理。
暂无
原文连接
的情况下转载,若非则不得使用我方内容。