263通信又一子站SQL注入漏洞

漏洞概要

缺陷编号:WooYun-2012-016413

漏洞标题:263通信又一子站SQL注入漏洞

相关厂商:263通信

漏洞作者:txcbg

提交时间:2012-12-24 00:01

公开时间:2013-02-07 00:02

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:15

漏洞状态:厂商已经确认

Tags标签:

漏洞详情

披露状态:

2012-12-24: 细节已通知厂商并且等待厂商处理中
2012-12-24: 厂商已经确认,细节仅向厂商公开
2013-01-03: 细节向核心白帽子及相关领域专家公开
2013-01-13: 细节向普通白帽子公开
2013-01-23: 细节向实习白帽子公开
2013-02-07: 细节向公众公开

简要描述:

263通信又一子站SQL注入漏洞,可登录后台,可能造成用户信息泄露。

详细说明:

263通信子站物料商城(http://mall.263.net/)采用的存在SQL注入漏洞的老ShopEx v4.8.5,通过注入获得了管理员的用户名和密码hash。hash在cmd5破解了出来,又是默认后台地址http://mall.263.net/shopadmin/index.php?ctl=passport&act=login。就不登录后台了,点到为止。登录后台后ShopEx获得shell是比较容易的。单是注入漏洞就危害巨大,通过注入可以获得管理员的用户名和密码,可以获得用户信息、订单信息等敏感信息。商城系统出现注入漏洞,危害大家都懂的。

漏洞证明:

通过注入获得的管理员的用户名和密码hash如图1。

修复方案:

升级网站程序吧。

漏洞回应

厂商回应:

危害等级:高

漏洞Rank:15

确认时间:2012-12-24 11:37

厂商回复:

谢谢,正在修复中~~

最新状态:

2012-12-31:经确认,此页面非运营系统,为内部人员使用页面,与生产系统的代码和数据库完全隔离,对应的部门负责人正在处理,设置访问控制权限

评价