漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-040252
漏洞标题：旗峰天下小说网站某处注入可导致拖库刷阅读币(1分钱人民币=1点阅读币)
相关厂商：旗峰天下
漏洞作者： xiaogui
提交时间：2013-10-22 12:57
修复时间：2013-12-06 12:58
公开时间：2013-12-06 12:58
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：15
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-10-22： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-12-06： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
某处分站注入，可以直接危害网站核心的数据库
详细说明：
快周末了，屌丝表示已无心工作，想起之前看了半部的YY小说，就想去网站找来看，在百度，google翻来覆去的就是没找到盗版的，屌丝就这点爱好了，没钱又想看，咋办呢？决定了，去首发网站看看，看能不能撸点什么下来~
找来找去，在这个地方找到了一个注入点，东西不少啊~~看来有戏
http://dg.qefeng.com/index.php/Index/noticecon/id/21
数据库里看到了admin，屌丝表示很喜欢这个，把数据撸出来再说
还看到了一个user表，貌似有个叫做money的字段，俺更喜欢啦，注几个数据出来看看先，本来打算直接给俺账号update下money的，不过怕你们财务查账的时候迷糊，就先不整了，去后台看看下
后台应该有点好东西的吧，貌似有7W多的用户
翻着翻着，果真看到好东西了，这个作品相关的地方竟然可以直接下载全本小说的txt文件，这个好啊，果然撸出精华来了
就撸到这里了，再撸就要撸出人命来了。。。
那啥，有个分站的kindeditor可以直接访问，虽然shell是没法上传，但是传个html之类的是毫无问题啊，看了下，都是些黑页。。。
漏洞证明：
看详细说明
修复方案：
该过滤过滤，该清理清理，发现弱口令不少，管理人员的安全意识需要加强~
版权声明：转载请注明来源 xiaogui@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝