漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-078865
漏洞标题：方维团购最新版通杀注入（附大量案例）
相关厂商：fanwe.com
漏洞作者： 郭斯特
提交时间：2014-10-10 16:11
修复时间：2014-12-30 14:44
公开时间：2014-12-30 14:44
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-10-10： 细节已通知厂商并且等待厂商处理中
2014-10-15： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2014-12-09： 细节向核心白帽子及相关领域专家公开
2014-12-19： 细节向普通白帽子公开
2014-12-29： 细节向实习白帽子公开
2014-12-30： 细节向公众公开
简要描述：
RT~
$$$$$$$$$$$$$$$$$$$$$$$
详细说明：
官网没成功。但是基本通杀。
存在问题的地方是这个登录接口：m.php?m=User&a=doLogin
post：origURL=ghost&password=ghost&email=ghost（email参数没有过滤）
报错~注入~
http://www.qianrengou.com/m.php?m=User&a=doLogin
post：post：origURL=ghost&password=ghost&email=ghost
默认后台：admin.php
ttp://www.xinjianghu.com.cn/m.php?m=User&a=doLogin
post：post：origURL=ghost&password=ghost&email=ghost
默认后台admin.php
漏洞证明：
案例
输入admin’ admin 报错！~
http://www.tuobar.com/m.php?m=User&a=doLogin
http://www.pizhoutuan.com/m.php?m=User&a=doLogin
http://tuan.0937.net/m.php?m=User&a=doLogin
http://www.yetuan.net/m.php?m=User&a=doLogin
http://tuan.323g.com/m.php?m=User&a=doLogin
http://www.th0799.com/m.php?m=User&a=doLogin
http://www.zhuanzhuan360.com/m.php?m=User&a=doLogin
http://www.tuanyiba.com/m.php?m=User&a=doLogin
http://www.meiyatuan.com/m.php?m=User&a=doLogin
http://www.tl19tuan.com/m.php?m=User&a=doLogin
http://www.56516.cn/m.php?m=User&a=doLogin
http://tuan.sj360.com.cn/m.php?m=User&a=doLogin
http://www.0750tuan.com/m.php?m=User&a=doLogin
http://www.0316tuan.com/m.php?m=User&a=doLogin
http://fy.qianrengou.com/m.php?m=User&a=doLogin
http://m.qianrengou.com/m.php?m=User&a=doLogin
http://www.julytuan.com/m.php?m=User&a=doLogin
修复方案：
过滤email参数
版权声明：转载请注明来源 郭斯特@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-12-30 14:44
厂商回复：
最新状态：
2014-12-30：旧版本的手机端,m.php 已经去除