漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0155348
漏洞标题：西北工业大学瓜大生活APP泄露服务器信息导致sql注入
相关厂商：西北工业大学
漏洞作者： 阿金
提交时间：2015-11-24 12:20
修复时间：2016-01-11 15:32
公开时间：2016-01-11 15:32
漏洞类型：敏感信息泄露
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-11-24： 细节已通知厂商并且等待厂商处理中
2015-11-25： 厂商已经确认，细节仅向厂商公开
2015-12-05： 细节向核心白帽子及相关领域专家公开
2015-12-15： 细节向普通白帽子公开
2015-12-25： 细节向实习白帽子公开
2016-01-11： 细节向公众公开
简要描述：
西北工业大学瓜大生活APP反编译后泄漏服务器信息导致sql注入，可获取所有用户数据
详细说明：
将APP反编译后发现如下信息：
随便找了个链接http://s-170401.gotocdn.com/back_comment_num.php，在浏览器中打开发现如下提示：
数据库是MySQL的，感觉此处应该有注入，在源代码里找一下看看这条链接有哪些参数，就找到了下面这样的代码：
由此可知，需要news_id和category_id两个参数，接下来在本地构造一个post请求：
提交后抓包，在sqlmap下对抓到的post数据包进行测试，果然注入成功：
使用sqlmap跑数据的具体过程就不说了，可以拿到所有用户的数据，如下：
随便找一个帐号登录下：
漏洞证明：
修复方案：
客户端尽量减少服务器相关信息的出现，服务器端做好参数检测工作
版权声明：转载请注明来源 阿金@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：10
确认时间：2015-11-25 15:09
厂商回复：
感谢您的报告，校园网络安全需要你们这些白帽子，问题已提交给负责老师处理。
最新状态：
暂无