当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0147038

漏洞标题：p2p之好利网某平台SQL注入泄露千万金额业务信息及会员信息

相关厂商：haolyy.com

漏洞作者： 幻老头儿

提交时间：2015-10-15 21:07

修复时间：2015-10-20 21:08

公开时间：2015-10-20 21:08

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-10-15： 细节已通知厂商并且等待厂商处理中
2015-10-20： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

rt

详细说明：

好利网crm系统，遍地存在注入
WooYun: 好利网某后台弱口令可泄漏投资人信息
弱口令修复了，但是登录处存在注入

0.png


用户名处注入，admin' or ''=''#密码随意，可以登录crmadmin超级管理员账户

2.png


泄露千万级金额业务数据

4.png


近10w用户

5.png

漏洞证明：

遍地存在注入，由于平台有防护，一旦大量数据请求，会把ip禁了，那么手动吧

1.png


后台只要有数据交互，基本上都存在注入，且支持union
如果语句不成立

3.png


有防护页面

40.png


41.png


42.png


业务员编辑处，可以直接查看业务员用户及密码

45.png


11.png


12.png


13.png


14.png


15.png


登录经理的账号
会员信息

20.png


查看各会员业务合同

29.png


30.png


31.png


32.png


修复方案：

过滤

版权声明：转载请注明来源 幻老头儿@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2015-10-20 21:08

厂商回复：

漏洞Rank：15 (WooYun评价)

最新状态：

暂无

漏洞评价：

评论