漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-058320
漏洞标题：视频影音系列#1.暴风影音之Hadoop&phpHBaseAdmin弱口令+sql注入
相关厂商：暴风影音
漏洞作者： 浩天
提交时间：2014-04-24 18:49
修复时间：2014-06-08 18:50
公开时间：2014-06-08 18:50
漏洞类型：服务弱口令
危害等级：中
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-04-24： 细节已通知厂商并且等待厂商处理中
2014-04-25： 厂商已经确认，细节仅向厂商公开
2014-05-05： 细节向核心白帽子及相关领域专家公开
2014-05-15： 细节向普通白帽子公开
2014-05-25： 细节向实习白帽子公开
2014-06-08： 细节向公众公开
简要描述：
弱口令+sql注入，1个给5分，2个能给10分么，4个能20分？附送sql注入哦！！
详细说明：
Hadoop：admin 123456
http://119.188.128.110
http://103.15.200.110
升级完的版本还是有sql注入的问题吖
这种高科技，不敢搞，lei哥自己研究吧
漏洞证明：
phpHBaseAdmin:demo demo
http://119.188.128.80/
http://103.15.200.80/
同样是高科技吖，呵呵，不敢搞
修复方案：
都是线上的东西，什么都不敢做，简单看看，没做任何修改操作，我很有职业道德，嗯！！
可能还会有后续的友情检测，可有礼物否
版权声明：转载请注明来源 浩天@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2014-04-25 11:44
厂商回复：
感谢发现并提交漏洞，我们会尽快修复~
最新状态：
暂无
漏洞评价：
评论
-
这种东西不敢搞，如果放开了搞，肯定还会有大收获的，系列第二级已经出炉了，那个更不敢搞，搞了事就大了，我感觉我相当有职业道德
-
@jusker 纳尼
-
这个洞，有sql注入，然后报错还提示了绝对路径，然后还没开gpc，呵呵，shell一下，应该可以，呵呵
-
第二集确认，第一集不确认，这顺序不对吖
( 普通白帽子 | Rank:915 漏洞数:79 | 度假中...)