魔线科技核心数据平台全部沦陷root权限

漏洞概要

缺陷编号:WooYun-2015-098632

漏洞标题:魔线科技核心数据平台全部沦陷root权限

相关厂商:moxian.com

漏洞作者:爱上平顶山

提交时间:2015-02-27 22:46

公开时间:2015-04-13 22:48

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

Tags标签:

漏洞详情

披露状态:

2015-02-27: 细节已通知厂商并且等待厂商处理中
2015-03-01: 厂商已经确认,细节仅向厂商公开
2015-03-11: 细节向核心白帽子及相关领域专家公开
2015-03-21: 细节向普通白帽子公开
2015-03-31: 细节向实习白帽子公开
2015-04-13: 细节向公众公开

简要描述:

看见你们招聘安全工程师 就看看~
魔线科技公司 安全部招聘安全工程师哦 想去的 去试试· 上市公司

详细说明:

魔线科技MO-Xian运维系统 http://support.m41s.comMoxian客服系统 http://cs.m41s.comMoxian数据系统 http://data.m41s.com三大系统存在相同漏洞 SQL注入 username关键字存在post注入

不贴敏感图了吧 O(∩_∩)Ook

漏洞证明:

···

修复方案:

过滤

漏洞回应

厂商回应:

危害等级:高

漏洞Rank:15

确认时间:2015-03-0117:13

厂商回复:

谢谢帮助我们发现很多管理导致的严重安全问题,已通知安全人员处理!

最新状态:

暂无

评价

  1. 2010-01-01 00:00 老笨蛋 白帽子 | Rank:6 漏洞数:1)

    直接招了楼猪这头大牛吧。

  2. 2010-01-01 00:00 帅气凌云 白帽子 | Rank:295 漏洞数:51)

    后台登录页面带入 '

  3. 2010-01-01 00:00 Arthur 白帽子 | Rank:17 漏洞数:5)

    @帅气凌云 /opt/htdocs/moxian_support/framework/web/CController.php 路径给爆出来了