搜房一后台,刚才忘记加上去 -_-!

漏洞概要

缺陷编号:WooYun-2012-06563

漏洞标题:搜房一后台,刚才忘记加上去 -_-!

相关厂商:搜房网

漏洞作者:zhk

提交时间:2012-04-30 20:13

公开时间:2012-06-14 20:13

漏洞类型:SQL注射漏洞

危害等级:低

自评Rank:3

漏洞状态:厂商已经确认

Tags标签:

漏洞详情

披露状态:

2012-04-30: 细节已通知厂商并且等待厂商处理中
2012-04-30: 厂商已经确认,细节仅向厂商公开
2012-05-10: 细节向核心白帽子及相关领域专家公开
2012-05-20: 细节向普通白帽子公开
2012-05-30: 细节向实习白帽子公开
2012-06-14: 细节向公众公开

简要描述:

一后台,看内容应该是废弃的,登录框SQL注入

详细说明:

http://dg.soufun.com/market/zhongjie/admin/index.htm用'or''=''or''='直接登录

漏洞证明:

修复方案:

应该是直接删掉

漏洞回应

厂商回应:

危害等级:低

漏洞Rank:5

确认时间:2012-04-30 22:10

厂商回复:

多年前无人维护旧程序,已经删除。

最新状态:

暂无

评价

  1. 2010-01-01 00:00 xsser 白帽子 | Rank:152 漏洞数:17)

    也就这个奇葩公司一直用windows+iis+asp

  2. 2010-01-01 00:00 zhk 白帽子 | Rank:421 漏洞数:65)

    @xsser 也有ASPX和PHP,上次他们说ASP都是旧程序,上次报告后已经将ASP程序隔离到独立服务器,应该是留着多多少少赚的广告费吧

  3. 2010-01-01 00:00 xsser 白帽子 | Rank:152 漏洞数:17)

    @zhk 的确,技术上没规划好容易出这种事情 京东不都是开始迁移了么 前期一个技术有远见的人多么重要啊

  4. 2010-01-01 00:00 Say 白帽子 | Rank:17 漏洞数:4)

    我擦 真的可以

  5. 2010-01-01 00:00 xsser 白帽子 | Rank:152 漏洞数:17)

    @Say 你看到漏洞内容?

  6. 2010-01-01 00:00 Say 白帽子 | Rank:17 漏洞数:4)

    @xsser 激动什么。。。= = 我现在看到你都怕了。。

    我照着他说的 sql注射,去试了一下,真的可以。。

  7. 2010-01-01 00:00 zhk 白帽子 | Rank:421 漏洞数:65)

    @Say "极端残暴的管理员"我也领教过的~

  8. 2010-01-01 00:00 Say 白帽子 | Rank:17 漏洞数:4)

    @zhk 那是神马

  9. 2010-01-01 00:00 zhk 白帽子 | Rank:421 漏洞数:65)

    xsser曾经说过:“对于大型社区来讲,的确是个安全问题,但是对于乌云这种小众而且大家明显都是有技术准入门槛的人来说,这个问题还可以忽略,况且还有个极端残暴的管理员“

  10. 2010-01-01 00:00 Say 白帽子 | Rank:17 漏洞数:4)

    @zhk 。。。。。他这话 是啥意思 - - 看得我毛骨悚然...

  11. 2010-01-01 00:00 zhk 白帽子 | Rank:421 漏洞数:65)

    @Say 就他关于你刚才回的拿敏感帐号的回复,乌云也有这对乌云来说不算是问题的问题

  12. 2010-01-01 00:00 Say 白帽子 | Rank:17 漏洞数:4)

    @zhk ......这个 乌云注册没那么方便 还算好的吧

  13. 2010-01-01 00:00 zhk 白帽子 | Rank:421 漏洞数:65)

    @搜房网 没放五一???

  14. 2010-01-01 00:00 horseluke 白帽子 | Rank:108 漏洞数:18)

    @xsser 技术远见似乎也不可能无限远见啊,所以架构这个问题觉得还是要依实际而定。

  15. 2010-01-01 00:00 Say 白帽子 | Rank:17 漏洞数:4)

    @zhk 人家真够勤快的。。

  16. 2010-01-01 00:00 zhk 白帽子 | Rank:421 漏洞数:65)

    @Say ^_^ 应该有白帽子再里面工作

  17. 2010-01-01 00:00 Say 白帽子 | Rank:17 漏洞数:4)

    @zhk 嗯哼,我也这么觉得啊哈哈~