当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0167621

漏洞标题：一猫汽车官方APP存在SQL注入（root权限+Stacked queries）

相关厂商：北京一猫汽车科技有限公司

漏洞作者： 路人甲

提交时间：2016-01-06 11:02

修复时间：2016-01-11 15:32

公开时间：2016-01-11 15:32

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-01-06： 细节已通知厂商并且等待厂商处理中
2016-01-11： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

APP安全之SQL注入

详细说明：

目标：一猫汽车官方APP
检测发现以下地方存在SQL注入：（POST中的id，Stacked queries/时间盲注）

POST http://app.emao.com/v1.4/ HTTP/1.1
Accept: image/gif, image/jpeg, image/pjpeg, image/pjpeg, application/x-shockwave-flash, application/xaml+xml, application/vnd.ms-xpsdocument, application/x-ms-xbap, application/x-ms-application, application/vnd.ms-excel, application/vnd.ms-powerpoint, application/msword, */*
Accept-Language: zh-CN
Accept-Charset: utf-8
User-Agent: Mozilla/5.0 (Linux; U; Android 4.1.2; zh-cn; ZTE Grand S Build/JZO54K) AppleWebKit/534.30 (KHTML, like Gecko) Version/4.0 Mobile Safari/534.30
Content-Type: application/x-www-form-urlencoded
Content-Length: 112
Host: app.emao.com
Connection: Keep-Alive
Accept-Encoding: gzip
info={"id":"1556","ltime":0,"len":20,"code":"1321","offset":0}

漏洞证明：

1、SQLMap漏洞证明

sqlmap.jpg


2、列出当前数据库用户，发现是dba权限

user.jpg


3、列出当前数据库

db.jpg


4、列出当前库数据表，共580个，跑第一个表名吧~

tb.jpg

修复方案：

请多指教~

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2016-01-11 15:32

厂商回复：

漏洞Rank：4 (WooYun评价)

最新状态：

暂无

漏洞评价：

评价