爱多多成人商城存在SQL注入漏洞(想知道xxx买了什么玩具吗)

漏洞概要

缺陷编号:WooYun-2015-0125394

漏洞标题:爱多多成人商城存在SQL注入漏洞(想知道xxx买了什么玩具吗)

相关厂商:爱多多

漏洞作者:路人甲

提交时间:2015-07-08 15:59

公开时间:2015-08-22 16:00

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:20

漏洞状态:未联系到厂商或者厂商积极忽略

Tags标签:

漏洞详情

披露状态:

2015-07-08: 积极联系厂商并且等待厂商认领中,细节不对外公开
2015-08-22: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

某某成人商城app存在sql注入,可获取用户详细信息

详细说明:

打开app抓包发现某个数据包可能存在注入,于是用sqlmap跑了下数据量挺庞大的~~各种信息都有哦

参数thread_id存在注入

aiduoduo这里面表也很多。。。目测400个表

漏洞证明:

打开app抓包发现某个数据包可能存在注入,于是用sqlmap跑了下数据量挺庞大的~~各种信息都有哦

参数thread_id存在注入

aiduoduo这里面表也很多。。。目测400个表

修复方案:

你比我更懂

漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

漏洞Rank:15 (WooYun评价)

评价

  1. 2010-01-01 00:00 prolog 白帽子 | Rank:518 漏洞数:59)

    [email protected] 买了什么玩具吗

  2. 2010-01-01 00:00 wefgod 白帽子 | Rank:1438 漏洞数:124)

    你们为什么都对他们下手?!为什么! 话说上面WAWA的质量如何?