当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2011-03238

漏洞标题：优库某活动页面存在SQL Injection

相关厂商：优酷

漏洞作者： Mason

提交时间：2011-11-07 13:52

修复时间：2011-11-12 13:52

公开时间：2011-11-12 13:52

漏洞类型：SQL注射漏洞

危害等级：低

自评Rank：1

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2011-11-07： 细节已通知厂商并且等待厂商处理中
2011-11-12： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

url_decode 反编码函数起的二次注入

详细说明：

可能造成MYSQL盲注入和MYSQL DDOS

漏洞证明：

http://pino.youku.com/videos_list.php?q=%2527 oR 1=1 lIMIT 2%23

修复方案：

反编码后对字符串进行检测（别移除）..

版权声明：转载请注明来源 Mason@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2011-11-12 13:52

厂商回复：

漏洞Rank：8 (WooYun评价)

最新状态：

暂无

漏洞评价：

评论

  1. 2011-11-07 18:39 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    会decode?有点意思 ：）

  2. 2011-11-07 20:21 | Mason ( 路人 | Rank:13 漏洞数:2 | 厂商您总忽略我～情何以堪～情何以堪～)

    额，貌似是urldecode另外标题的优酷也写错了～囧

  3. 2011-11-07 20:22 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    嗯 优库... 这次大家都知道咩意思

  4. 2011-11-07 23:29 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    这库灰常优质

  5. 2011-11-08 10:16 | Frankie ( 路人 | Rank:10 漏洞数:1 | 你存在,我的代码里...Line 0://你)

    觉得这里用这个库更贴切啊....不是优的库怎么会有插入呢? :)

  6. 2011-11-13 17:41 | Mason ( 路人 | Rank:13 漏洞数:2 | 厂商您总忽略我～情何以堪～情何以堪～)

    修复了说无影下忽略是啥意思？

  7. 2011-11-13 19:06 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    扣丫分吧 太不尊重人了！！

  8. 2011-11-13 19:42 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    需要一个厂商的规范机制@Gary

  9. 2011-11-17 10:19 | Frankie ( 路人 | Rank:10 漏洞数:1 | 你存在,我的代码里...Line 0://你)

    优酷不会做人.小心被人强行插入~!!!那时我就笑了...