麻豆模特网SQL注入,送模特了

漏洞概要

缺陷编号:WooYun-2013-017942

漏洞标题:麻豆模特网SQL注入,送模特了

相关厂商:麻豆网

漏洞作者:网络小兵

提交时间:2013-01-28 16:28

公开时间:2013-03-14 16:28

漏洞类型:SQL注射漏洞

危害等级:中

自评Rank:5

漏洞状态:未联系到厂商或者厂商积极忽略

Tags标签:

漏洞详情

披露状态:

2013-01-28: 积极联系厂商并且等待厂商认领中,细节不对外公开
2013-03-14: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

麻豆网SQL注入,可直接拖库,他们这个MADOU.COM可是好域名来的
domain.cn有报道他们启用这个域名建站了,所以检测一下。结果发现多处SQL注入

详细说明:

http://www.madou.com/home/?uid=1480'手工检测直接提示SQL语句直接开工具HAVIJ爆出管理员密码

漏洞证明:

修复方案:

过滤

漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

评价

  1. 2010-01-01 00:00 kimdle 白帽子 | Rank:0 漏洞数:1)

    裤子给你,求源码!

  2. 2010-01-01 00:00 rootkit 白帽子 | Rank:0 漏洞数:1)

    裤子给你,求源码!

  3. 2010-01-01 00:00 笨猪 白帽子 | Rank:54 漏洞数:12)

    什么叫裤子给你求源码?

  4. 2010-01-01 00:00 网络小兵 白帽子 | Rank:12 漏洞数:2)

    就是他们想要网站源代码
    我可是良民,什么也没做

  5. 2010-01-01 00:00 kimdle 白帽子 | Rank:0 漏洞数:1)

    这个我很早就发现了,一直在找思路拿源码。苦于数据库用户非dba.无奈啊!