当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0157022

漏洞标题:巨人某站存在多注入(一个有趣的时有时无的addslashes)

相关厂商:巨人网络

漏洞作者: ksss

提交时间:2015-11-30 13:37

修复时间:2016-01-14 17:42

公开时间:2016-01-14 17:42

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-11-30: 细节已通知厂商并且等待厂商处理中
2015-11-30: 厂商已经确认,细节仅向厂商公开
2015-12-10: 细节向核心白帽子及相关领域专家公开
2015-12-20: 细节向普通白帽子公开
2015-12-30: 细节向实习白帽子公开
2016-01-14: 细节向公众公开

简要描述:

上次那个漏洞居然没有小礼物!!那么我还有一个问题,这次会忽略吗?
成为最富有的人我都放弃了,再给一次20不过分吧~

详细说明:

http://mobile.ztgame.com/mobile/index.php
巨人的统一数据中心,系统挺有趣的,所有提交的参数都会流经test.php,可以看到,做了addslashes,php写的应该是开了gpc

QQ截图20151130125939.png


QQ截图20151130130116.png


然而,在GAO server的登录口,gpc失效了,然后看一下test,虽然全局加了,应该执行数据库的时候又来了一次格式化,教科书一般的失误

QQ截图20151130130313.png


第一处
注入点就在这,提交admin’会引发报错,因为数据库用户都是一个,待会一起截图

QQ截图20151130130554.png


第二处
用户登录口
http://mobile.ztgame.com/m_login.php
提交用户名的地方存在sql注入

QQ截图20151130130904.png


可惜参数不仅被传到select语句,还进了一个update语句,应该是更新登录时间吧,不能联合查询了,不然很多地方爆了绝对路径用into outfile可以写shell了,username参数,99库

QQ截图20151130131221.png


QQ截图20151130131005.png


QQ截图20151130131315.png


第三处
是好像一个洞主提过,但是公开了还不修啊

QQ截图20151130131435.png


大量数据库,当前这个在103段啊,上次那个102段的机器已经被关了吗,这个也要好好处理啊

QQ截图20151130131526.png


QQ截图20151130131648.png

漏洞证明:

QQ截图20151130131005.png


QQ截图20151130131315.png

修复方案:

这个GAO系统应该重新部署了吧,老系统就赶紧下线吧,数据还在里面呢

版权声明:转载请注明来源 ksss@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2015-11-30 17:39

厂商回复:

感谢ksss,相关部门正在全力迁移中。。。

最新状态:

暂无