当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-069247

漏洞标题：开源中国某处SQL报错注入可获取敏感数据

相关厂商：开源中国

漏洞作者： 路人甲

提交时间：2014-07-22 10:40

修复时间：2014-07-22 11:44

公开时间：2014-07-22 11:44

漏洞类型：SQL注射漏洞

危害等级：中

自评Rank：5

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-07-22： 细节已通知厂商并且等待厂商处理中
2014-07-22： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

开源中国某处sql注入

详细说明：

在 http://git.oschina.com/
用的是微擎
微擎通用的洞
WooYun: 微擎-微信公众平台自助引擎系统 注入第一枚(Demo成功)。
WooYun: 微擎-微信公众平台自助引擎系统 注入第二弹 (demo成功)
不知道为什么没补

QQ截图20140721204627.png


QQ截图20140721204900.png


QQ截图20140721205951.png


漏洞证明：

在 http://git.oschina.com/
用的是微擎
微擎通用的洞
WooYun: 微擎-微信公众平台自助引擎系统 注入第一枚(Demo成功)。
WooYun: 微擎-微信公众平台自助引擎系统 注入第二弹 (demo成功)
不知道为什么没补

QQ截图20140721204627.png


QQ截图20140721204900.png


QQ截图20140721205951.png


修复方案：

无

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-07-22 11:44

厂商回复：

这是 OSChina 的吗？ 我们没有 PHP 的东西

最新状态：

2014-07-22：OSChina 的域名是 git.oschina.net

漏洞评价：

评论

  1. 2014-07-22 14:06 | 寂寞的瘦子 ( 普通白帽子 | Rank:242 漏洞数:53 | 一切语言转汇编理论)

    红薯哥都是java

  2. 2014-07-22 15:49 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    .com的是……山寨的吗？

  3. 2014-07-22 21:31 | KaneLin1217 ( 路人 | Rank:0 漏洞数:1 | 高校学生)

    山寨的吧，官方是oschina.net这个是oschina.com（没有备案信息）

  4. 2014-07-23 04:28 | Jumbo ( 普通白帽子 | Rank:111 漏洞数:29 | 猫 - http://www.chinabaiker.com)

    这是 OSChina 的吗？ 我们没有 PHP 的东西

  5. 2014-07-23 09:12 | 泳少 ( 普通白帽子 | Rank:231 漏洞数:79 | ★ 梦想这条路踏上了，跪着也要...)

    为啥跳转本地？

  6. 2014-07-23 12:44 | MyKings ( 普通白帽子 | Rank:114 漏洞数:24 )

    git.oschina.com域名指向的是127.0.0.1，不是楼主自己在本地YY吧~

  7. 2014-07-23 14:32 | 小怿 ( 路人 | Rank:29 漏洞数:6 | )

    @MyKings 看到你的评论，我也ping了一下。。果然是指向了本地。。

  8. 2014-07-23 15:02 | 三秋 ( 路人 | Rank:2 漏洞数:2 | xxx)

    楼主不会每天上山寨osc吧。。。然后还把自己代码提交到 山寨osc了。

  9. 2014-11-05 19:19 | kow ( 路人 | Rank:29 漏洞数:4 | 研表究明，汉字的序顺并不定一能影阅响读，...)

    笑尿了~~原来可以这样骗邀请码~~