漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-011070
漏洞标题：emoi官方网站存在SQL注入漏洞
相关厂商：emoi基本生活
漏洞作者： ghy459
提交时间：2012-08-20 16:05
修复时间：2012-10-04 16:06
公开时间：2012-10-04 16:06
漏洞类型：SQL注射漏洞
危害等级：中
自评Rank：8
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-08-20： 积极联系厂商并且等待厂商认领中，细节不对外公开
2012-10-04： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
emoi官方网站存在SQL注入漏洞，某页面未对参数过滤导致SQL注入漏洞产生。
详细说明：
存在注入的页面：http://www.emoi.com/emoi_store.php?id=120
虽然加 ' 之后页面挺正常的，但是标题缺提示参数错误。
找个工具一扫，确实存在漏洞。
管理员密码还是挺复杂的，不过却是明文的。。。
后台地址一扫就出来了 ：http://www.emoi.com/control/
里面有个fck，后面的就不说了。
漏洞证明：
存在注入的页面：http://www.emoi.com/emoi_store.php?id=120
虽然加 ' 之后页面挺正常的，但是标题缺提示参数错误。
找个工具一扫，确实存在漏洞。
管理员密码还是挺复杂的，不过却是明文的。。。
后台地址一扫就出来了 ：http://www.emoi.com/control/
里面有个fck，后面的就不说了。
修复方案：
加个过滤就好，改下后台路径。
版权声明：转载请注明来源 ghy459@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝