当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2016-0207945

漏洞标题:易车网旗下易车商城存在SQL注入

相关厂商:易车

漏洞作者: Mel0d6y

提交时间:2016-05-12 19:10

修复时间:2016-06-27 10:30

公开时间:2016-06-27 10:30

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:15

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2016-05-12: 细节已通知厂商并且等待厂商处理中
2016-05-13: 厂商已经确认,细节仅向厂商公开
2016-05-23: 细节向核心白帽子及相关领域专家公开
2016-06-02: 细节向普通白帽子公开
2016-06-12: 细节向实习白帽子公开
2016-06-27: 细节向公众公开

简要描述:

易车创办于2000年,秉承“让汽车生活更简单”的理念,现已成为中国国内最领先的汽车专业媒体集团,为汽车企业和用户提供立足区域市场的本地化服务支持。易车网价值观是冠军车队文化:专业、合作、创新。
易车网是汽车厂商和区域经销商整合营销解决方案提供商。通过全新三级两线营销整合战略,易车网整合自身优势资源,以营销管理及应用后台、广告营销系统、线下行销手段以及网站编辑运营系统四大系统作为营销手段,为汽车厂商、厂商大区、经销商三级商家提出一系列整合营销方案,并通过厂商联动及区域营销的两条营销主线达成汽车厂商、厂商大区、经销商在品牌及销售方面的营销诉求,最终成为汽车厂商和区域经销商整合营销解决方案提供商。

详细说明:

URL:

http://api.yichemall.com/carsource/ycapi/getecpricenew?callback=jQuery1112010467815725132823_1462273401473&carId=116848&cityName=北京&_=1462273401474


其中'cityName'字段可注入

易车1.png


易车2.png


易车3.png


易车5.png


漏洞证明:

包含用户手机、地址等信息数据 :)

易车0.png

修复方案:

1.使用参数检查的方式,拦截带有SQL语法的参数传入应用程序
2.使用预编译的处理方式处理拼接了用户参数的SQL语句
3.在参数即将进入数据库执行之前,对SQL语句的语义进行完整性检查,确认语义没有发生变化
4.在出现SQL注入漏洞时,要在出现问题的参数拼接进SQL语句前进行过滤或者校验,不要依赖程序最开始处防护代码
5.定期审计数据库执行日志,查看是否存在应用程序正常逻辑之外的SQL语句执行
参考 from WooyunWIKI.

版权声明:转载请注明来源 Mel0d6y@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:12

确认时间:2016-05-13 10:29

厂商回复:

非常感谢对易车的支持,我们已经处理完这个问题了,谢谢

最新状态:

暂无


漏洞评价:

评价

  1. 2016-05-13 09:33 | 易车(乌云厂商)

    非常感谢对易车的帮助,我们尽快修复,谢谢

  2. 2016-06-27 10:44 | pandas ( 普通白帽子 | Rank:750 漏洞数:85 | 国家特级保护动物)

    @易车 这个没修复好么?众测那期我记得提过这个api的cityid参数给你们?