QQ输入法某处SQL注入

漏洞概要

缺陷编号:WooYun-2014-088484

漏洞标题:QQ输入法某处SQL注入

相关厂商:腾讯

漏洞作者:Airbasic

提交时间:2014-12-24 23:30

公开时间:2014-12-25 10:39

漏洞类型:SQL注射漏洞

危害等级:中

自评Rank:8

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

Tags标签:

漏洞详情

披露状态:

2014-12-24: 细节已通知厂商并且等待厂商处理中
2014-12-24: 厂商已查看当前漏洞内容,细节仅向厂商公开
2014-12-25: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

QQ输入法某处SQL注入

详细说明:

sort1sort2 都是注入点

漏洞证明:

修复方案:

==干吧爹

漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2014-12-25 10:39

厂商回复:

非常感谢您的报告,经评估该问题并不存在,故此忽略。如果您有任何的疑问,欢迎反馈,我们会有专人跟进处理。

漏洞Rank:10(WooYun评价)

最新状态:

暂无

评价

  1. 2010-01-01 00:00 xsjswt 白帽子 | Rank:146 漏洞数:38)

    这个确实很像是注入啊

  2. 2010-01-01 00:00 xsjswt 白帽子 | Rank:146 漏洞数:38)

    应该是个注入
    http://dict.qq.pinyin.cn/dict_list?sort1=%D3%CE%CF%B7&sort2=%CD%F8%D3%CE%27%20and%20user%28%29!=%27aa%27%20%23
    http://dict.qq.pinyin.cn/dict_list?sort1=%D3%CE%CF%B7&sort2=%CD%F8%D3%CE%27%20and%20user%28%29=%27aa%27%20%23

  3. 2010-01-01 00:00 kobin97 白帽子 | Rank:1649 漏洞数:171)

    厂商审核漏洞的是个搞公关的吧?

  4. 2010-01-01 00:00 浩天 白帽子 | Rank:851 漏洞数:68)

    这尼玛就是注入点好的吧

  5. 2010-01-01 00:00 浩天 白帽子 | Rank:851 漏洞数:68)

    页面下了访问不了

  6. 2010-01-01 00:00 Tea 白帽子 | Rank:279 漏洞数:31)

    WooYun: 搜狗网站(QQ输入法)网站盲注漏洞
    不就这个嘛,厂商都不修复啊,哈哈。

  7. 2010-01-01 00:00 Airbasic 白帽子 | Rank:25 漏洞数:4)

    是不是非要注出什么数据才确定漏洞了.....

  8. 2010-01-01 00:00 Airbasic 白帽子 | Rank:25 漏洞数:4)

    好像已经修复了?

  9. 2010-01-01 00:00 Airbasic 白帽子 | Rank:25 漏洞数:4)

    楼上是SB= =

  10. 2010-01-01 00:00 xsjswt 白帽子 | Rank:146 漏洞数:38)

    @Airbasic 本来漏洞提交平台是不应该任何漏洞拒绝的(我甚至觉得,乌云不太有必要审核,或者对一些厂商没必要审核白帽子,把审核的问题交给厂商去弄)。但是乌云人力不够,所以一般没有明显的看出是注入的,乌云都不收(所以完全可以把审核的工作甩给负责任的厂商,比如腾讯、百度、阿里、赶集,自己去弄)。这点和src不太一样。
    在src上,有疑似是有问题的都可以提交,他们会妥善处理的。

  • N/A