当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0120616

漏洞标题：外语教学与研究出版社某站SQL注入

相关厂商：外语教学与研究出版社有限责任公司

漏洞作者： 路人甲

提交时间：2015-06-15 15:23

修复时间：2015-07-30 15:24

公开时间：2015-07-30 15:24

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：14

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-06-15： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-07-30： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

不出数据，不会闭合sql语句。不知道是不是洞。

详细说明：

为什么是外研社？应为网站下面写的版权

http://login.unipus.cn/register.php


2.jpg


这里昵称我加了单引号
提交
返回error

3.jpg


注册用insert 语句报错

SQL语句：INSERT INTO auth_user (username,password,nickname,email,mobile,perms,client_id,token,token_exptime,reg_ip,reg_time,status,xxid,created,user_id) VALUES ('[email protected]','3efa40a53bf81f7b5f5ed627aba1055c','wooyuntest'','[email protected]','','student','1000000002','987820153a65abe37a3d74ddb05405c4','1434608033','222.74.59.10','1434348833','0','4005','2015-06-15 14:13:53','e8975f3e51814aca8afa55283b26ec30')
错误信息：SQLSTATE[42000]: Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '[email protected]','','student','1000000002','987820153a65abe37a3d74ddb05405c4',' at line 1

漏洞证明：

修复方案：

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝