当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0108135

漏洞标题:投注网某站SQL注入漏洞

相关厂商:投注网

漏洞作者: luwikes

提交时间:2015-04-15 16:34

修复时间:2015-04-20 16:36

公开时间:2015-04-20 16:36

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:18

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-04-15: 细节已通知厂商并且等待厂商处理中
2015-04-20: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

~

详细说明:

http://marketing.touzhu.cn/main.aspx登陆处存在sql注入漏洞。sa权限。mssql2008。跨裤很多。
直接上图

1.png


2.png


部分裤子

7.png


3.png


4.png


5.png


6.png


火狐截图_2015-04-15T07-45-31.222Z.png

漏洞证明:

火狐截图_2015-04-15T07-45-31.222Z.png

修复方案:

要多层防护,不要以为架个设备就没事了。该在代码层解决的问题,就在代码层把它解决了

版权声明:转载请注明来源 luwikes@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2015-04-20 16:36

厂商回复:

漏洞Rank:15 (WooYun评价)

最新状态:

2015-04-21:十分不好意思,确认晚了.这站已经停用了.不好意思了.谢谢你的关注.


漏洞评价:

评论

  1. 2015-04-21 09:29 | luwikes ( 普通白帽子 | Rank:512 漏洞数:77 | 潜心学习~~~)

    @投注网,你看下影响的数据库,不单是投注网,还有投注营销和投注游戏以及其它一些数据库。 网站停用了数据库也不会没有价值吧?