当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0126488

漏洞标题:华图教育分站SQL注入(时间型盲注)

相关厂商:华图教育

漏洞作者: Xmyth_夏洛克

提交时间:2015-07-13 16:35

修复时间:2015-07-18 16:36

公开时间:2015-07-18 16:36

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:20

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-07-13: 细节已通知厂商并且等待厂商处理中
2015-07-18: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

详细说明:

注入点:http://szts.huatu.com/goods.php?id=5869 ,在后面加上',页面为空白

华图1.png


用sqlmap跑,果然存在注入点,为时间型盲注,由于时间有限就不再深入

漏洞证明:

华图3.png


一共有七个数据库,如图所示,由于太浪费时间,就跑出来了三个

华图4.png


上图是当前数据库名称

修复方案:

过滤

版权声明:转载请注明来源 Xmyth_夏洛克@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2015-07-18 16:36

厂商回复:

漏洞Rank:15 (WooYun评价)

最新状态:

暂无


漏洞评价:

评论

  1. 2015-07-13 16:41 | 紫霞仙子 ( 普通白帽子 | Rank:2027 漏洞数:279 | 天天向上 !!!)

    这简要描述也太精简了吧。

  2. 2015-07-13 16:42 | 天地不仁 以万物为刍狗 ( 普通白帽子 | Rank:977 漏洞数:264 | 天地本不仁 万物为刍狗)

    @紫霞仙子 是已经超神了····

  3. 2015-07-13 16:42 | 小苹果 ( 路人 | Rank:9 漏洞数:5 | 只要锄头挥的好,哪有洞挖不到)

    哥们,下次描述不要把详情写出来啊

  4. 2015-07-13 16:45 | Xmyth_夏洛克 ( 普通白帽子 | Rank:477 漏洞数:62 | 啥都不会)

    @小苹果 。。。我的错。。。

  5. 2015-07-13 16:45 | Xmyth_夏洛克 ( 普通白帽子 | Rank:477 漏洞数:62 | 啥都不会)

    @紫霞仙子 233333