当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-05806

漏洞标题：糗事百科注入

相关厂商：糗事百科

漏洞作者： popok

提交时间：2012-04-06 09:01

修复时间：2012-05-21 09:02

公开时间：2012-05-21 09:02

漏洞类型：SQL注射漏洞

危害等级：中

自评Rank：5

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-04-06： 积极联系厂商并且等待厂商认领中，细节不对外公开
2012-05-21： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

某处存在注入点，可union

详细说明：

小纸条功能中未作过滤，追加，回复等都存在过滤。
比如：（星号为数字，怕你封我ID）
http://www.qiushibaike.com/new4/messages/new@123****?id=127****

漏洞证明：


修复方案：

过滤

版权声明：转载请注明来源 popok@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

漏洞评价：

评论

  1. 2012-04-08 12:20 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    漏洞也算糗事吧

  2. 2012-05-06 16:28 | hacker@sina.cn ( 普通白帽子 | Rank:288 漏洞数:27 | ANONYMOUS)

    30天了有木有 还不公布

  3. 2012-05-09 18:50 | hacker@sina.cn ( 普通白帽子 | Rank:288 漏洞数:27 | ANONYMOUS)

    @xsser 公布吧

  4. 2012-05-21 10:00 | Micro Da ( 实习白帽子 | Rank:66 漏洞数:7 | Micro Da)

    其实我想说的是管理不是这个admin

  5. 2012-05-21 10:48 | popok ( 普通白帽子 | Rank:117 漏洞数:24 | nothing)

    @Micro Da 你是想说是那个黑衣大哥哥是么？

  6. 2012-05-21 13:28 | Micro Da ( 实习白帽子 | Rank:66 漏洞数:7 | Micro Da)

    嗯 正确他的密码解不出来 你拿下webshell没。。

  7. 2012-05-21 13:59 | popok ( 普通白帽子 | Rank:117 漏洞数:24 | nothing)

    @Micro Da 那个大哥哥只是前台用户而已，还有他的加密算法是自己改的，解不了的

  8. 2012-05-22 13:52 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @Micro Da @popok 你们搞错问题的关键了，关键在于小纸条里的注射那么就是可以读取私信了?

  9. 2012-05-22 14:07 | Micro Da ( 实习白帽子 | Rank:66 漏洞数:7 | Micro Da)

    @xsser 其实熄事有个致命的地方 能去拿webshell还有查库。读取私信那不很简单了。。

  10. 2012-05-22 14:24 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @Micro Da 乌云吧，求让他糗事百科一下

  11. 2012-05-22 16:56 | Micro Da ( 实习白帽子 | Rank:66 漏洞数:7 | Micro Da)

    @xsser 我错了。。。你们都是恐怖分子

  12. 2012-10-25 08:11 | 小奥 ( 路人 | Rank:6 漏洞数:8 | 小奥，大一学生一枚，热爱IT)

    我还发了个审贴漏洞。。