漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-028243
漏洞标题：新浪某分站sql盲注第三枚
相关厂商：新浪
漏洞作者： Vty
提交时间：2013-07-09 11:25
修复时间：2013-08-23 11:25
公开时间：2013-08-23 11:25
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-07-09： 细节已通知厂商并且等待厂商处理中
2013-07-10： 厂商已经确认，细节仅向厂商公开
2013-07-20： 细节向核心白帽子及相关领域专家公开
2013-07-30： 细节向普通白帽子公开
2013-08-09： 细节向实习白帽子公开
2013-08-23： 细节向公众公开
简要描述：
应用为了和数据库进行沟通完成必要的管理和存储工作，必须和数据库保留一种接口。目前的数据库一般都是提供api以支持管理，应用使用底层开发语言如Php，Java，asp，Python与这些api进行通讯。对于数据库的操作，目前普遍使用一种SQL语言（Structured Query Language语言，SQL语言的功能包括查询、操纵、定义和控制，是一个综合的、通用的关系数据库语言，同时又是一种高度非过程化的语言，只要求用户指出做什么而不需要指出怎么做），SQL作为字符串通过API传入给数据库，数据库将查询的结果返回，数据库自身是无法分辨传入的SQL是合法的还是不合法的，它完全信任传入的数据，如果传入的SQL语句被恶意用户控制或者篡改，将导致数据库以当前调用者的身份执行预期之外的命令并且返回结果，导致安全问题。
详细说明：
第一个由于网络异常库名应该是
自己不会验证吗？自己不会验证就不通过！！
漏洞证明：
请看上图
修复方案：
版权声明：转载请注明来源 Vty@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：8
确认时间：2013-07-10 18:04
厂商回复：
感谢关注新浪安全，已安排人员进行修复。
最新状态：
暂无