漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-010918
漏洞标题：天语手机官方网站Sql中出,并发现裤子早就被脱.大量用户数据泄露
相关厂商：天语手机
漏洞作者： 蟋蟀哥哥
提交时间：2012-08-15 10:06
修复时间：2012-09-29 10:07
公开时间：2012-09-29 10:07
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：15
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-08-15： 积极联系厂商并且等待厂商认领中，细节不对外公开
2012-09-29： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
天语手机官方网站Sql中出,在渗透中发现裤子早就被脱掉了。我就没性趣了。
对比起。我把论坛管理员的密码改了。。自己改回来吧。。
根据上个天语的漏洞被忽略了。。估计这个也会被忽略的。。小米还送手机。。天语直接忽略。。。哎
详细说明：
sql inject url:http://www.k-touch.cn/product/detail?prod_id=20
多库在一起...包括论坛，首页，商城.包括天语正在搞的那个活动。。都能直接修改数据。。
漏洞证明：
好吧。。。是怎么发现被脱掉裤子呢？？这个问题值得思考...
其实我是想查到论坛管理员的密码的。。但是发现早就有人破解过了。还没破解出结果:
这个时候俺就怀疑已经被脱裤了。。。
然后俺就再测试了几个账号。。。一样的结果。。。
so.....俺就不感性趣了...应该是上回那个tp漏洞就进去了的。
修复方案：
修复漏洞。业务分离。数据库分离。
安红,俺想你。。。。。。
版权声明：转载请注明来源 蟋蟀哥哥@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝