漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2010-0268
漏洞标题：淘宝网SQL注入漏洞
相关厂商：淘宝网
漏洞作者： riusksk
提交时间：2010-08-23 20:54
修复时间：2010-08-23 21:19
公开时间：2010-08-23 21:19
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2010-08-23： 细节已通知厂商并且等待厂商处理中
2010-08-23： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
淘宝网存在一处SQL注入漏洞，可直接获取管理员帐号及密码。
详细说明：
因http://mm.taobao.com/?id=mm3'+and+'1'%3D'0中的id参数过滤不严，导致SQL注入漏洞，但冒似淘宝对数据库的错误机制进行处理，导致网页返回正常页面，但仍可直接通过注入猜解工具直接获取帐号及密码。
漏洞证明：
截图：
http://filer.blogbus.com/4678754/4678754_1282567989y.jpg
修复方案：
过滤关键词
版权声明：转载请注明来源 riusksk@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2010-08-23 21:19
厂商回复：
最新状态：
2010-08-24：误报。不需要修复。