漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0186064
漏洞标题：新浪api.sina.cn域名存在SQL注入涉及78个库
相关厂商：新浪
漏洞作者： hear7v
提交时间：2016-03-18 09:24
修复时间：2016-03-22 11:25
公开时间：2016-03-22 11:25
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-03-18： 细节已通知厂商并且等待厂商处理中
2016-03-22： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
新浪api.sina.cn域名存在sql注入，涉及78个库，用户数据，聊天信息，服务器配置，交易信息等诸多敏感信息
详细说明：
target
http://api.sina.cn/sinago/register.json?uid=8cbb26e31cdf061e&from=6049395012&wm=b207&oldchwm=14020_0001&chwm=14020_0001&imei=A0000055919C95
data
clientid=SPNS-XD-356E060B11ixozZZJhCOUkkpwPRklbkR&device=android&android_os_type=1&deviceid=8cbb26e31cdf061e&version=4.9.3&
因为涉及cdn等复杂的网络环境，复现有一定困难，最好采用sqlmap的注入方式，手工基本不能复现
漏洞证明：
有价值的数据太多，管理员信息，用户信息，服务器配置信息等，一个星期了，还没修
修复方案：
过滤
版权声明：转载请注明来源 hear7v@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2016-03-22 11:25
厂商回复：
此白帽子已在ssrc报告过。
最新状态：
暂无