漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-068224
漏洞标题：bilibili某分站有SQL注射漏洞
相关厂商：bilibili.com
漏洞作者： StarBrilliant
提交时间：2014-07-17 12:42
修复时间：2014-07-18 09:57
公开时间：2014-07-18 09:57
漏洞类型：SQL注射漏洞
危害等级：中
自评Rank：7
漏洞状态：厂商已经修复
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-07-17： 细节已通知厂商并且等待厂商处理中
2014-07-17： 厂商已经确认，细节仅向厂商公开
2014-07-18： 厂商已经修复漏洞并主动公开，细节向公众公开
简要描述：
bilibili某分站有SQL注射漏洞，有一定可能性获取到用户密码
详细说明：
上次报告这个漏洞没有通过，估计是我填写得不够详细？如果这次再不通过我只有公开了。
如果是乌云这边联系不上厂商，我要提醒一下，bilibili换域名了，从 .tv 改成 .com 了。
==== 以下正文 ====
bilibili某分站（画友 drawyoo h.bilibili.com）有SQL注射漏洞
触发方法：
打开 h.bilibili.com 在右上角搜索框内输入一个分号（'），点击搜索即报错。
网页地址 http://h.bilibili.com/search?keyword=%27
继续测试 '+OR+''=' 仍然报错，
但是测试 '+OR+'a'=' 会返回空白结果，结果页出现了“搜索 \'+OR+\'a\'=\'”的双重转义的字样，所以可以判断确实是做了转义，但是由于没有使用成熟的转义库导致了有漏网之鱼。
下面可以继续构造SQL注入字符串。根据我的推断，画友分站和bilibili主站运行在同一台服务器上，如果数据库被入侵可能导致上万密码被泄漏，后果不堪设想。
==== 正文结束 ====
我的测试到此为止，以不破坏为重，希望乌云和bilibili重视。有次我交的XSS漏洞bilibili竟然私自修复却没有给我回复。
漏洞证明：
出错信息，爆出 SQL 语句：
截图如下：
==== 管理员请帮助我取回另一重要截图 ====
另外，前几天我在提交 hash fd3b8129168a154fa9db959db290ba97 漏洞的时候，截图中有一个不同的出错信息，爆出了服务器文件名 /var/www/drawyoo/.../dbClass.php 和 .../500.htm 以及更多重要信息。
可惜wooyun不让我取回那张图了。如果乌云这边的管理员可以帮助我取回那张图我不胜感激。
修复方案：
第一，转义！转义！转义！
一定要用成熟的转义库！
或者参数化查询。
第二，避免双重转义。不要在输出的网页上出页反斜线！这是“转义不完备、网站有漏洞”的暗示！
版权声明：转载请注明来源 StarBrilliant@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2014-07-17 12:45
厂商回复：
此漏洞是在当天处理另一个独立事件时发现并修正的
最新状态：
2014-07-18：此漏洞是在当天处理另一个独立事件时发现并修正的