实战绕过360网站卫士WEB防护与SQL注入规则

漏洞概要

缺陷编号:WooYun-2014-053895

漏洞标题:实战绕过360网站卫士WEB防护与SQL注入规则

相关厂商:奇虎360

漏洞作者:study_vul

提交时间:2014-03-18 10:35

公开时间:2014-05-02 10:36

漏洞类型:SQL注射漏洞

危害等级:中

自评Rank:10

漏洞状态:厂商已经确认

Tags标签:

漏洞详情

披露状态:

2014-03-18: 细节已通知厂商并且等待厂商处理中
2014-03-18: 厂商已经确认,细节仅向厂商公开
2014-03-28: 细节向核心白帽子及相关领域专家公开
2014-04-07: 细节向普通白帽子公开
2014-04-17: 细节向实习白帽子公开
2014-05-02: 细节向公众公开

简要描述:

在测试时遇到360web防护,发现还是可以获得一些信息,不知道算绕过不。

详细说明:

在测试时遇到360 waf防护的站点,进行测试发现还是可以成功,防护提高了渗透的门槛,但是却不是万能的。请求www.cctvad.org//siteserver/platform/background_dbSqlQuery.aspx使用抓包工具,将302 修改成200 ,并且去掉跳转代码,即可访问该页面输入sql语句进行查询

这条语句是查询管理员密码,

发现360的防护设备,已经阻止了请求。构造新的语句

发现没有拦截,将返回的数据包中302 修改成200 ,去掉跳转代码,即可显示页面:

解密可以,以后的就不说了,已经搞到shell,参考 WooYun: cctv某站点任意文件上传

漏洞证明:

证明如上对于防护设备来说,如果在开启时,让渗透者获得的重要信息,本人就认为是已经被绕过了...可能厂商并不这么认为...因为提交到360 没有获得确认,就提交乌云了,明知道会被忽略,但是还是写出来,让使用防护设备的站长明白,防护设备是有用的,可以为站长看家护院,提高渗透的门槛,但是防护设备不是万能的,还需要勤快的站长及时更新,关注自己维护的站点,等等 省略1w字

修复方案:

添加规则

漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2014-03-1817:57

厂商回复:

非常感谢您对360网站卫士的关注!

最新状态:

暂无

评价

  1. 2010-01-01 00:00 结扎师 白帽子 | Rank:48 漏洞数:6)

    给你一个大赞!

  2. 2010-01-01 00:00 study_vul 白帽子 | Rank:56 漏洞数:6)

    @结扎师 可以当wb用不

  3. 2010-01-01 00:00 Vty 白帽子 | Rank:165 漏洞数:21)

    @结扎师 你的id好刁啊

  4. 2010-01-01 00:00 Vty 白帽子 | Rank:165 漏洞数:21)

    还是360给力,@奇虎360,你们比什么宝,什么狗都靠谱

  5. 2010-01-01 00:00 http://www.wooyun.org/corps/奇虎360 白帽子 | Rank:0 漏洞数:0)

    @Vty 多谢支持,欢迎关注360安全应急响应中心月奖励计划! http://security.360.cn/Index/news/id/30.html

  6. 2010-01-01 00:00 wefgod 白帽子 | Rank:1438 漏洞数:124)

    都没防护这个啊?

  7. 2010-01-01 00:00 冷静 白帽子 | Rank:3 漏洞数:2)

    @奇虎360 @Vty 你没看见洞子写的 提交到360 没有获得确认,就提交乌云了。这句话吗???