QQ输入法某处SQL注入

sort1sort2 都是注入点

==干吧爹

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-12-25 10:39

厂商回复：

非常感谢您的报告，经评估该问题并不存在，故此忽略。如果您有任何的疑问，欢迎反馈，我们会有专人跟进处理。

漏洞Rank：10(WooYun评价)

最新状态：

暂无

1. 2010-01-01 00:00 xsjswt 白帽子 | Rank:146 漏洞数:38)

   这个确实很像是注入啊

2. 2010-01-01 00:00 xsjswt 白帽子 | Rank:146 漏洞数:38)

   应该是个注入
   http://dict.qq.pinyin.cn/dict_list?sort1=%D3%CE%CF%B7&sort2=%CD%F8%D3%CE%27%20and%20user%28%29!=%27aa%27%20%23
   http://dict.qq.pinyin.cn/dict_list?sort1=%D3%CE%CF%B7&sort2=%CD%F8%D3%CE%27%20and%20user%28%29=%27aa%27%20%23

3. 2010-01-01 00:00 kobin97 白帽子 | Rank:1649 漏洞数:171)

   厂商审核漏洞的是个搞公关的吧？

4. 2010-01-01 00:00 浩天 白帽子 | Rank:851 漏洞数:68)

   这尼玛就是注入点好的吧

5. 2010-01-01 00:00 浩天 白帽子 | Rank:851 漏洞数:68)

   页面下了访问不了

6. 2010-01-01 00:00 Tea 白帽子 | Rank:279 漏洞数:31)

   WooYun: 搜狗网站（QQ输入法）网站盲注漏洞
   不就这个嘛，厂商都不修复啊，哈哈。

7. 2010-01-01 00:00 Airbasic 白帽子 | Rank:25 漏洞数:4)

   是不是非要注出什么数据才确定漏洞了.....

8. 2010-01-01 00:00 Airbasic 白帽子 | Rank:25 漏洞数:4)

   好像已经修复了？

9. 2010-01-01 00:00 Airbasic 白帽子 | Rank:25 漏洞数:4)

   楼上是SB= =

10. 2010-01-01 00:00 xsjswt 白帽子 | Rank:146 漏洞数:38)

    @Airbasic 本来漏洞提交平台是不应该任何漏洞拒绝的（我甚至觉得，乌云不太有必要审核，或者对一些厂商没必要审核白帽子，把审核的问题交给厂商去弄）。但是乌云人力不够，所以一般没有明显的看出是注入的，乌云都不收（所以完全可以把审核的工作甩给负责任的厂商，比如腾讯、百度、阿里、赶集，自己去弄）。这点和src不太一样。
    在src上，有疑似是有问题的都可以提交，他们会妥善处理的。