0019相亲网sql注射,可读取全站数据库信息

编号19544
Urlhttp://www.wooyun.org/bug.php?action=view&id=19544
漏洞状态未联系到厂商或者厂商积极忽略
漏洞标题0019相亲网sql注射,可读取全站数据库信息
漏洞类型SQL注射漏洞
厂商0019相亲网
白帽子光影
提交日期2013-03-05 18:46:00
公开日期2013-06-14 10:45:00
修复时间(not set)
确认时间0000-00-00 00:00:00
Confirm Spend-1
漏洞标签php+Mysql
关注数0
收藏数0
白帽评级
白帽自评rank3
厂商评级
厂商评rank0
漏洞简介
这几天一直收到Q群的一个广告邮件,于是看一下该站(www.0019.com),搜索存在注射,mysql的数据库。不过测试的时候动作大点会被封IP(用代理吧)……
漏洞细节

注射点如:http://www.0019.com/search/searchById?id=1713675
4个数据库:

48ZLX2LXLJFD~7_LMUT0PY6.jpg


没有继续深入测试,没有获取用户信息。

POC

48ZLX2LXLJFD~7_LMUT0PY6.jpg


目测用户信息都在 d0019b 里面。就是不知道妹子有多少……

修复方案

你们比我懂的……

状态信息 2013-03-05: 积极联系厂商并且等待厂商认领中,细节不对外公开
2013-06-14: 厂商已经主动忽略漏洞,细节向公众公开
厂商回复(not set)
回应信息未能联系到厂商或者厂商积极拒绝