漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-043656
漏洞标题：未来人类官网sql注入漏洞
相关厂商：Terrans Force
漏洞作者： 么么哒
提交时间：2013-11-22 17:11
修复时间：2014-01-06 17:12
公开时间：2014-01-06 17:12
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-11-22： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-01-06： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
Terrans Force（未来人类）一直致力于打造争霸全球的笔记本电脑产品，与台湾蓝天电脑集团的战略合作其亦为美国ALIENWARE的前技术合作厂商，为中国的高端用户开创了全新视界。每每推出的机种皆为全球性能最强产品，此次合作在中国率先推出世界级的高端笔记本电脑。采用了最先进的纳米技术组件，搭载超性能的图形处理引擎，独一无二的炫酷外观设计及出众的绿色节能特性，造就出当今业界最具价值的顶尖笔记本电脑。
详细说明：
台湾站官网存在sa注入可以直接写入一句话木马
利用sa提权
反弹3389远程桌面接入服务器
漏洞证明：
修复方案：
1.对输入进行过滤
2.sqlserver降权关闭cmd_shell
3.木马查杀，后门清理
版权声明：转载请注明来源 么么哒@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝