漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0172804
漏洞标题：p2p金融安全之易贷网某站存在SQL注入导致用户(真实姓名\银行卡\电话号码)等信息泄露
相关厂商：edai.com
漏洞作者： 路人甲
提交时间：2016-01-26 15:00
修复时间：2016-03-10 16:42
公开时间：2016-03-10 16:42
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-01-26： 细节已通知厂商并且等待厂商处理中
2016-01-26： 厂商已经确认，细节仅向厂商公开
2016-02-05： 细节向核心白帽子及相关领域专家公开
2016-02-15： 细节向普通白帽子公开
2016-02-25： 细节向实习白帽子公开
2016-03-10： 细节向公众公开
简要描述：
过滤不是你这么玩儿的.
详细说明：
存在注入点的URL为http://xyk.edai.com/xyk/shenqing/card/?cardId=2152，
经过简单的测试方发现过滤了AND SELECT等常规的注入关键词。不过and可以使用or进行替换
.然而select却被无情的替换为空
然后想到既然是SELECT被替换为空了，如果使用SEL+SELECT+ECT来替代，然后替换了SELECT为空，不是又还原了SELECT了么。尝试了下，发现我的想法是即成立的
果然出数据了。然后立马查看了下sqlmap的tamper里面的各种tamper，发现了一个类似的nonrecursivereplacement 主要是在("UNION", "SELECT", "INSERT", "UPDATE", "FROM", "WHERE")中间继续填充一个关键词。把UNION SELECT转换为UNIOUNIONN SELESELECTCT。然而这里我们测试发现仅仅需要替换select就可以了。于是稍作修改，丢到sqlmap里面试试
。然后打算跑其中的某个表，发现返回结果为空.使用 -v 3 得到的语句丢到浏览器发现报错了
。那么只能手工玩玩了。自己组合了一个语句丢进去
成功报错出字段。使用burp跑了会
漏洞证明：
sqlmap出表
burp协助跑字段
为了确保里面的信息正确，查看其中的10个内容
包含银行卡，真实姓名，手机号，余额等~
修复方案：
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：5
确认时间：2016-01-26 15:27
厂商回复：
被放弃的产品，隔离部署的，不影响正式环境,产品已经下线
最新状态：
暂无