糗事百科注入

漏洞概要

缺陷编号:WooYun-2012-05806

漏洞标题:糗事百科注入

相关厂商:糗事百科

漏洞作者:popok

提交时间:2012-04-06 09:01

公开时间:2012-05-21 09:02

漏洞类型:SQL注射漏洞

危害等级:中

自评Rank:5

漏洞状态:未联系到厂商或者厂商积极忽略

Tags标签:

漏洞详情

披露状态:

2012-04-06: 积极联系厂商并且等待厂商认领中,细节不对外公开
2012-05-21: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

某处存在注入点,可union

详细说明:

小纸条功能中未作过滤,追加,回复等都存在过滤。比如:(星号为数字,怕你封我ID)http:[email protected]****?id=127****

漏洞证明:

修复方案:

过滤

漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

评价

  1. 2010-01-01 00:00 xsser 白帽子 | Rank:152 漏洞数:17)

    漏洞也算糗事吧

  2. 2010-01-01 00:00 hacker@sina.cn 白帽子 | Rank:218 漏洞数:22)

    30天了有木有 还不公布

  3. 2010-01-01 00:00 hacker@sina.cn 白帽子 | Rank:218 漏洞数:22)

    @xsser 公布吧

  4. 2010-01-01 00:00 Micro Da 白帽子 | Rank:50 漏洞数:7)

    其实我想说的是管理不是这个admin

  5. 2010-01-01 00:00 popok 白帽子 | Rank:82 漏洞数:19)

    @Micro Da 你是想说是那个黑衣大哥哥是么?

  6. 2010-01-01 00:00 Micro Da 白帽子 | Rank:50 漏洞数:7)

    嗯 正确他的密码解不出来 你拿下webshell没。。

  7. 2010-01-01 00:00 popok 白帽子 | Rank:82 漏洞数:19)

    @Micro Da 那个大哥哥只是前台用户而已,还有他的加密算法是自己改的,解不了的

  8. 2010-01-01 00:00 xsser 白帽子 | Rank:152 漏洞数:17)

    @Micro Da @popok 你们搞错问题的关键了,关键在于小纸条里的注射那么就是可以读取私信了?

  9. 2010-01-01 00:00 Micro Da 白帽子 | Rank:50 漏洞数:7)

    @xsser 其实熄事有个致命的地方 能去拿webshell还有查库。读取私信那不很简单了。。

  10. 2010-01-01 00:00 xsser 白帽子 | Rank:152 漏洞数:17)

    @Micro Da 乌云吧,求让他糗事百科一下

  11. 2010-01-01 00:00 Micro Da 白帽子 | Rank:50 漏洞数:7)

    @xsser 我错了。。。你们都是恐怖分子

  12. 2010-01-01 00:00 小奥 白帽子 | Rank:0 漏洞数:4)

    我还发了个审贴漏洞。。