某社会化分享按钮及分享代码提供商官网SQL注入导致公司内部信息及大量客户信息泄漏

加网主页www.jiathis.com某过期活动页面可导致sql注入（POST方式），仅jiathis业务有近50w条客户数据泄漏。后台管理权限泄漏，可更改任意用户信息及运营数据。

注入页面是偶然发现的某过期活动页面，这种页面属于长期被遗忘在角落的东西，定期安全检查及代码更新应该覆盖不到，感觉可能存在漏洞

http://www.jiathis.com/event/iphone5/

恰巧在下图位置发现数据提交框，尝试输入注入数据验证一下，发现提交按钮已锁定，此路不通。

但我仍然不死心，在页面代码中找到了遗留的js脚本：

function getwinner(type) {
   if(type != 1) {
    setTimeout(function() {
     $('#div-show'+type).hide();
    },10000);
   }
   var domain = $('input[name=domain'+type+']').val();
   var uid = $('input[name=uid'+type+']').val();
   $('span[id^=winner'+type+'_]').attr('class','');
   if(domain != '' || uid != '') {
    var data = '';
    if(domain != '' && uid != '') {
     data = "domain="+domain+"&uid="+uid;
    } else {
     data = domain ? "domain="+domain : "uid="+uid;
    }
    $.ajax({
     'type':'post',
     'url': "http://www.jiathis.com/event/searchwinner/"+type,
     'data':data,
     'success':function(msg) {
      var str = '';
      if(msg == 'no') {
       str = '咦，亲，本次没有找到你的UID哦。看来你需要抽取后面的大奖喽，加油！';
      } else {
       $('#winner'+type+'_'+msg).addClass('winner');
      }
     }
    });
   } else {
    if(type == 3) {
     $('#div-show'+type).html('请输入邮箱或者UID').show();
    }
   }
  }

随即直验证该post请求，果然发现一sql注入漏洞。

虽然页面屏蔽按钮但请求接口依然存在。

以后就是用sqlmap验证并挖掘信息，详见以下：

1.sqlmap对注入点验证：

2.按业务划分数据库表：

3.每个表中均有管理员及用户信息：

4.jiathis客户信息数量

5.部分客户信息

6.管理员权限设置json串中可见网站结构信息，据此可推测网站后台路径

7.管理员表中密码存在弱口令，可据此登录网站后台，后台页面：

可登录多个系统后台。

由于后台不稳定，担心影响公司正常业务，未尝试上传webshell，若webshell上传成功有快速拖库风险。

1.过期页面处理请及时且彻底。

2.管理员修改弱口令（杜绝纯数字、8位以下密码）。

3.多业务不公用数据库，数据库权限分配合理。

另：网站服务器https端口打开，如果不是正常业务请关闭。

厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2014-09-17 13:45

厂商回复：

漏洞的页面存在于早前已下线的活动页面，比较隐蔽，现已修复，感谢白帽子。

最新状态：

2014-09-17：需要说明一下，用户密码等隐私数据，我们全部进行了加盐(salt)处理，这方面是安全的。对个别的弱口令网站管理员帐号，我们进行了相应的处理。

1. 2014-08-26 17:18 | 浩天 ( 普通白帽子 | Rank:925 漏洞数:80 | 哈！躁起来！)

   0

   自身流量就非常高，好厉害

   1# 回复此人

2. 2014-08-26 18:35 | 疯狗 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

   0

   这个值得关注下，社会化分享，又是个第三方坑

   2# 回复此人

3. 2014-09-17 14:23 | 浩天 ( 普通白帽子 | Rank:925 漏洞数:80 | 哈！躁起来！)

   0

   加盐(salt)也是有规则的，有些也是可以解密的，应该与小米、电玩巴士的加密方式如出一辙

   3# 回复此人

4. 2014-09-17 15:38 | 北京加网时代科技有限公司(乌云厂商)

   0

   @浩天 每个用户有自己独立的salt，然后再单向哈希加密。

   4# 回复此人