当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-064613

漏洞标题：新东方分站博客SQL注射漏洞

相关厂商：新东方

漏洞作者： 岩少

提交时间：2014-06-12 12:17

修复时间：2014-06-17 12:18

公开时间：2014-06-17 12:18

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-06-12： 细节已通知厂商并且等待厂商处理中
2014-06-17： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

求礼物。

详细说明：

漏洞存在页面:http://qiantu.xdf.cn/blog/BlogAdmin/Include/caseCommentList.jsp?ArticleID=1
1.大概有200多张表把。

QQ截图20140612114038.gif


QQ截图20140612114044.gif


QQ截图20140612114207.gif


Target: 		http://qiantu.xdf.cn/blog/BlogAdmin/Include/caseCommentList.jsp?ArticleID=1
Host IP:		116.213.70.108
Web Server: 	nginx/0.8.54
DB Server: 	MySQL error based
Resp. Time(avg):	138 ms
Current User: 	[email protected]
Sql Version: 	5.1.45-community-log
Current DB: 	liuxue
System User: 	[email protected]
Host Name: 	db.liuxue.bjidc.cn
Installation dir: 	/usr/local/mysql/
DB User: 	'liuxue'@'172.17.64.0/255.255.255.0'
Data Bases: 	information_schema
		liuxue


漏洞证明：

QQ截图20140612114207.gif


Target: 		http://qiantu.xdf.cn/blog/BlogAdmin/Include/caseCommentList.jsp?ArticleID=1
Host IP:		116.213.70.108
Web Server: 	nginx/0.8.54
DB Server: 	MySQL error based
Resp. Time(avg):	138 ms
Current User: 	[email protected]
Sql Version: 	5.1.45-community-log
Current DB: 	liuxue
System User: 	[email protected]
Host Name: 	db.liuxue.bjidc.cn
Installation dir: 	/usr/local/mysql/
DB User: 	'liuxue'@'172.17.64.0/255.255.255.0'
Data Bases: 	information_schema
		liuxue

修复方案：

相信你们会的,新东方有木有礼物卅===

版权声明：转载请注明来源 岩少@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-06-17 12:18

厂商回复：

最新状态：

暂无