漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-059858
漏洞标题：虎扑体育网SQL注射漏洞
相关厂商：虎扑体育网
漏洞作者： 鶆鶈
提交时间：2014-05-08 09:28
修复时间：2014-06-22 09:29
公开时间：2014-06-22 09:29
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-05-08： 细节已通知厂商并且等待厂商处理中
2014-05-08： 厂商已经确认，细节仅向厂商公开
2014-05-18： 细节向核心白帽子及相关领域专家公开
2014-05-28： 细节向普通白帽子公开
2014-06-07： 细节向实习白帽子公开
2014-06-22： 细节向公众公开
简要描述：
SQL注射，可泄露大量用户帐号密码。
详细说明：
网上下了份英语词汇表来背，顺手用[单词]作目录字典用[单词.php]作文件字典，扫了扫nba.hupu.com，扫描中有一个http://nba.hupu.com/trade/的页面，跟进就得到了注射点http://nba.hupu.com/trade/select_player.php?select=select_team&team1=8&team2=18&team3=&team4=1：
情况和 WooYun: 虎扑体育网未授权操作及SQL注射 差不多，不细说了。
好几次这样找到虎扑的注入点了，也许虎扑需要改改命名习惯。
漏洞证明：
hc_ucenter有大量用户信息，密码是md5密文，获得明文密码概率不低
修复方案：
$team = intval($_REQUEST['team']);
版权声明：转载请注明来源 鶆鶈@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：13
确认时间：2014-05-08 10:12
厂商回复：
感谢你对促进虎扑系统安全性的贡献。
最新状态：
暂无