漏洞概要
关注数(24)
关注此漏洞
漏洞标题：时代互联TodayMail系统xss盲打及sql注入（官方demo复现）
提交时间：2015-07-09 10:05
修复时间：2015-10-12 10:07
公开时间：2015-10-12 10:07
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
Tags标签：
无
漏洞详情
披露状态：
2015-07-09： 细节已通知厂商并且等待厂商处理中
2015-07-14： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2015-09-07： 细节向核心白帽子及相关领域专家公开
2015-09-17： 细节向普通白帽子公开
2015-09-27： 细节向实习白帽子公开
2015-10-12： 细节向公众公开
简要描述：
时代互联TodayMail系统xss盲打及sql注入（官方demo复现）注入需要登陆
详细说明：
时代互联旗下的邮件系统存在通用注入， 时代互联官网：now.cn 涉及大量网站，包括政府站点，使用量绝对是海量级别的：
这次发的是组合拳进行SQL注入
经过反复测试，只有该唯一办法组合可以进行SQL注入
注入产生在对query处的关键字查询过滤不严，但是该功能只对登陆后开放访问权限
登陆验证phpsessid，无法伪造
登陆用的邮箱和密码均为管理员自己设置的账号和密码
而密码强度呢？是几乎不可能破解的
我拿了的一个邮箱管理员的账号，可以来看一下设置：
密码强度很大，fuzzing是几乎很难做到的，虽然登陆验证码的设置不强
再来看到另一处常规突破口，忘记密码
如图，很遗憾，功能封锁。
已经没有其他办法绕过登陆了，那么只剩下----------
是的，没错 ：
拿到了用户的cookie，甚至只需要phpsessid即可，就可以登陆该邮箱，然后利用SQL缺陷进行注入攻击
经过测试，该邮件系统标题和内容正文处均存在store xss漏洞
测试用poc：
和标题一样，官方demo复现！
==========================================================================
登陆处302到某台cdn
那就在这里做测试吧
邮箱收集的过程就不再多说，官网、html标记都可以找到
下面写一封邮件
标题或正文插入：
没过多久就有了结果
来看：
成功获取到了cookie，也就拿到了phpsessid
怎么用呢？
#组合拳，SQL注入（注：登陆后多处未过滤存在注入）
将盲打到的用户cookie放入以下data包中：
保存为1.txt (123*为未过滤注入处)
接着使用sqlmap：
直接获得注入结果:
全部数据库：
漏洞证明：
修复方案：
版权声明：转载请注明来源 黑暗游侠@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2015-10-12 10:07
厂商回复：
漏洞Rank：15 (WooYun评价)
最新状态：
暂无
