瑞丽女性网分站后台弱口令+SQL注入+路径泄漏

漏洞概要

缺陷编号:WooYun-2012-06280

漏洞标题:瑞丽女性网分站后台弱口令+SQL注入+路径泄漏

相关厂商:瑞丽女性网

漏洞作者:zhk

提交时间:2012-04-22 14:55

公开时间:2012-06-06 14:56

漏洞类型:后台弱口令

危害等级:中

自评Rank:10

漏洞状态:未联系到厂商或者厂商积极忽略

Tags标签:

漏洞详情

披露状态:

2012-04-22: 积极联系厂商并且等待厂商认领中,细节不对外公开
2012-06-06: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

瑞丽女性网分站后台弱口令+SQL注入,不是废弃的

详细说明:

用'or''=''or''='尝试登录后帐号密码自己就跳出来了http://lifestyle.rayli.com.cn/manager/index.php->/data/www/wwwroot/lifestyle/http://lifestyle.rayli.com.cn/manager/login.phpadmin adminliulongjun [email protected]zengyujie [email protected]http://video.rayli.com.cn/ec/admin admin

漏洞证明:

修复方案:

改密码,过滤参数...

漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

漏洞Rank:13 (WooYun评价)

评价

  1. 2010-01-01 00:00 horseluke 白帽子 | Rank:108 漏洞数:18)

    已通知相关人知悉

  2. 2010-01-01 00:00 LinuxPad 白帽子 | Rank:17 漏洞数:1)

    额 漏洞现在还存在 不过输入' or ''=' 就自动跳出管理员用户名密码
    这个好奇葩啊。