漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0135464
漏洞标题：主机屋注册页面存在X-forwarded-for注入
相关厂商：主机屋
漏洞作者： 巴扎嘿
提交时间：2015-09-01 17:27
修复时间：2015-09-06 17:28
公开时间：2015-09-06 17:28
漏洞类型：SQL注射漏洞
危害等级：中
自评Rank：10
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-09-01： 细节已通知厂商并且等待厂商处理中
2015-09-06： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
主机屋注册页面存在X-forwarded-for注入以及物理路径泄露
详细说明：
晚上无聊想找个免费空间玩玩，贴吧里看人推荐了主机屋，于是过去注册。
本菜一直用火狐，装了个插件叫X-Forwarded-For Header，里头IP设置成了8.8.8.8'，
这样的好处就是碰到有http head注入的站就能显而易见的看出来。
不幸的是，主机物的注册页面就存在注入
于是祭出burp简单粗暴的开始手注
因为只是单纯测试目的，所以没有深入（其实是懒-_-!），数据库恐怕不少用户数据呢。
到这里还没完，我注册完后，点击初始化网站的时候报错了，报错内容里有网站的物理路径。
好漂亮的报错信息。。。就这样吧。
漏洞证明：
如上
http://www.zhujiwu.com
修复方案：
菜鸟不知道怎么补。
版权声明：转载请注明来源 巴扎嘿@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2015-09-06 17:28
厂商回复：
漏洞Rank：2 (WooYun评价)
最新状态：
暂无