当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0136428

漏洞标题:DoNews某站存在SQL注入漏洞(可影响上万名用户信息与密码安全)

相关厂商:Donews斗牛士

漏洞作者: 927

提交时间:2015-08-24 10:27

修复时间:2015-08-29 10:28

公开时间:2015-08-29 10:28

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:20

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-08-24: 细节已通知厂商并且等待厂商处理中
2015-08-29: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

中国最早的web2.0网站,中国互联网行业的风向标。提供互联网行业资讯、数据分析报告、社区互动、线下交流等服务。是中国互联网从业人士交流最权威的平台,是了解中国互联网动向的风向标。

详细说明:

今天逛着斗牛士点了个赞。
抓包看了一下,居然有注入

GET /digg/setcount?app=news&appid=2900642&callback=jQuery161047035170582828645_1440345599997&_=1440345644261 HTTP/1.1
Host: count.donews.com
User-Agent: Mozilla/5.0 (Windows NT 6.3; WOW64; rv:39.0) Gecko/20100101 Firefox/39.0
Accept: */*
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://m.donews.com/201508/2900642.shtm
Cookie: Hm_lvt_7cb6c297efb61b417d1027283fcccdb6=1439986660,1440345290; pgv_pvi=1832929280; Hm_lpvt_7cb6c297efb61b417d1027283fcccdb6=1440345602; pgv_si=s2870592512; PHPSESSID=i3499mnth0th7tf7q681s9f854
Connection: keep-alive


所有库825.png


用户比较多的是donewsblog,估计上万人注册,sqlmap跑了几千还没有停下来的意思,而且用的是比较核心的密码。
试了一个简单的:

这个人240.png


163.png


登陆163了.png


可以登录。而且可以看出用的核心邮箱,影响较大。毕竟是个大站啊。
数据库
niukeji的管理员:

所有管理员.png


好多管理员啊,不过这个加密的还不好破解
niukeji的用户:

牛科技013710.png


用户信息泄露,有name,nickname,password,mobile,mail,address

漏洞证明:

已证明

修复方案:

能看见的页面基本没啥问题,看不见的地儿全面排查一下。

版权声明:转载请注明来源 927@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2015-08-29 10:28

厂商回复:

漏洞Rank:15 (WooYun评价)

最新状态:

暂无


漏洞评价:

评论

  1. 2015-08-30 11:27 | ShAdow丶 ( 实习白帽子 | Rank:76 漏洞数:11 | i am a fans of kimYeWon.)

    思路不错 ,点赞处。