当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-061867

漏洞标题：美丽说主站sql注入漏洞（数据库root权限）

相关厂商：美丽说

漏洞作者： 蓝莓说

提交时间：2014-05-22 12:37

修复时间：2014-07-06 12:38

公开时间：2014-07-06 12:38

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-05-22： 细节已通知厂商并且等待厂商处理中
2014-05-23： 厂商已经确认，细节仅向厂商公开
2014-06-02： 细节向核心白帽子及相关领域专家公开
2014-06-12： 细节向普通白帽子公开
2014-06-22： 细节向实习白帽子公开
2014-07-06： 细节向公众公开

简要描述：

美丽说主站sql注入 本来不想提交

详细说明：

http://www.meilishuo.com/activity/tuan/tg512/?event_id=1015
http://mapp.meilishuo.com/activity/tuan/tg512/?event_id=1015

IL@R7~{SRIG1OWQ})8R`Z(2.jpg


E]}%EH(SD@V~`I3%ZM_}83N.jpg

漏洞证明：

http://www.meilishuo.com/activity/tuan/tg512/?event_id=1015
http://mapp.meilishuo.com/activity/tuan/tg512/?event_id=1015

IL@R7~{SRIG1OWQ})8R`Z(2.jpg


E]}%EH(SD@V~`I3%ZM_}83N.jpg

修复方案：

你懂

版权声明：转载请注明来源 蓝莓说@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2014-05-23 10:51

厂商回复：

感谢楼主提交。 P.S：厂商的技术也表示很好奇什么时候骂过洞主？

最新状态：

暂无

漏洞评价：

评论

  1. 2014-05-22 12:38 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    洞主身怀绝技！一看就是个好筒子

  2. 2014-05-22 12:40 | 蓝莓说 ( 实习白帽子 | Rank:60 漏洞数:18 | 爱网络安全 代码审计 php网站开发)

    乌云 好萌 审核好快

  3. 2014-05-22 12:51 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    @蓝莓说 从简要描述这两行字来看，洞主好萌

  4. 2014-05-22 13:31 | 秋风 ( 普通白帽子 | Rank:438 漏洞数:44 | 码农一枚，关注互联网安全)

    NB!

  5. 2014-05-22 13:53 | Bloodwolf ( 实习白帽子 | Rank:47 漏洞数:8 | whoami)

    建议提交漏洞的时候 把漏洞详情写在漏洞描述里！这样他再骂你，大伙给你报仇！

  6. 2014-05-22 14:35 | 小人物Reno ( 普通白帽子 | Rank:471 漏洞数:110 | X)

    @Bloodwolf 好基友，永垂不朽！

  7. 2014-05-22 14:37 | 冰冻冷咖啡 ( 路人 | Rank:5 漏洞数:2 | 菜鸟一只)

    本来不想提交 知道为什么不想吗 这个厂商技术骂过我 、而且也不给钱没良心 我还是有良心的漏洞提交出来吧......这?

  8. 2014-05-22 14:45 | 魇 ( 普通白帽子 | Rank:1207 漏洞数:104 | 传闻中魇是一个惊世奇男子，但是除了他华...)

    厂商技术为啥骂你？ 说出来大家帮你骂回去

  9. 2014-05-22 15:33 | zj1244 ( 普通白帽子 | Rank:273 漏洞数:33 | 小葵)

    美丽说和蓝莓说是敌对关系么？

  10. 2014-05-22 15:41 | nextdoor ( 普通白帽子 | Rank:325 漏洞数:74 )

    看看什么情况，找好久没找到注入

  11. 2014-05-22 16:39 | zzR 认证白帽子 ( 核心白帽子 | Rank:1382 漏洞数:122 | 收wb 1：5 无限量收 [平台担保])

    估计是旧主

  12. 2014-05-23 00:53 | Lonely ( 实习白帽子 | Rank:72 漏洞数:27 | 人生如梦,始终都游不过当局者迷的悲哀。)

    @蓝莓说 你还在和 美丽说 进行 泼妇骂街模式吗。无聊不哦i。

  13. 2014-05-23 11:03 | 乐乐、 ( 普通白帽子 | Rank:853 漏洞数:189 )

    @蓝莓说 技术厂商欺负你 咱们就给你欺负他~

  14. 2014-05-23 11:46 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    @蓝莓说 洞主，误会可以化解的，之前是个啥子情况哟

  15. 2014-05-23 15:10 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    @蓝莓说 洞主淡定，到底是咋回事？这么激动。

  16. 2014-05-23 15:19 | 蓝莓说 ( 实习白帽子 | Rank:60 漏洞数:18 | 爱网络安全 代码审计 php网站开发)

    没事 明天去青岛找黑客玩去

  17. 2014-05-23 17:08 | 美丽说(乌云厂商)

    @蓝莓说 洞主，万分感激对我们安全的关注，我不知道之前是谁骂过你，不过我们诚挚向你道歉。我们重视每一位白帽子的意见和建议，也希望能跟各位白帽子多交流沟通。如果你在北京，可以约个地方请你喝酒赔罪。。

  18. 2014-05-23 17:10 | 美丽说(乌云厂商)

    另外，我们也会为各位挖我们洞的白帽子准备一些小礼物略表心意。谢谢。

  19. 2014-05-23 17:10 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    @美丽说 @蓝莓说 ：）

  20. 2014-05-23 17:47 | nextdoor ( 普通白帽子 | Rank:325 漏洞数:74 )

    @美丽说 有我的小礼物吗？我也挖过

  21. 2014-05-23 18:08 | 美丽说(乌云厂商)

    @nextdoor 有。之前的我们会补上～

  22. 2014-05-23 18:34 | nextdoor ( 普通白帽子 | Rank:325 漏洞数:74 )

    @美丽说 thanks

  23. 2014-05-23 18:50 | 美丽说(乌云厂商)

    @nextdoor 客气了。。

  24. 2014-05-23 20:52 | Bloodwolf ( 实习白帽子 | Rank:47 漏洞数:8 | whoami)

    @美丽说 话说在北京的是不是灌醉了直接那啥送进去了！@趁早跑路！！！

  25. 2014-05-24 11:18 | zj1244 ( 普通白帽子 | Rank:273 漏洞数:33 | 小葵)

    @Bloodwolf 送去挖沙么？

  26. 2014-06-19 10:19 | hkAssassin ( 普通白帽子 | Rank:358 漏洞数:66 | 我是一只毛毛虫。)

    洞主是不是吧漏洞重新编辑了！怎么找不到说人家骂你的了。@美丽说 该骂就骂，白帽子是一定要尊重的，但是打着白帽子的名号挖个洞就要钱的就得骂，不行就找二表哥打他，哈哈！洞主此事你怎么看……

  27. 2014-06-19 11:05 | nextdoor ( 普通白帽子 | Rank:325 漏洞数:74 )

    美丽说说给我发礼物，现在还没有收到表示很失望。

  28. 2014-06-19 11:23 | 鶆鶈 ( 普通白帽子 | Rank:306 漏洞数:30 )

    没打哭你就不错了

  29. 2014-07-02 07:17 | HackBraid 认证白帽子 ( 核心白帽子 | Rank:1545 漏洞数:260 | ...........................................)

    @美丽说 同求礼物！

  30. 2014-07-02 09:43 | 蓝莓说 ( 实习白帽子 | Rank:60 漏洞数:18 | 爱网络安全 代码审计 php网站开发)

    打着给；礼物 半年了 你就别想礼物的事情了

  31. 2014-07-02 12:59 | HackBraid 认证白帽子 ( 核心白帽子 | Rank:1545 漏洞数:260 | ...........................................)

    @蓝莓说 好吧。囧

  32. 2014-07-06 13:36 | M4sk ( 普通白帽子 | Rank:1199 漏洞数:319 | 国内信息安全任重而道远，还需要厂商和白帽...)

    厂商这个回复屌 这个屌 如果你在北京，可以约个地方请你喝酒赔罪。。