海那边互联网移民平台多处SQL注射漏洞可能泄露移民用户信息（主系统＋某后台）

主系统的几个SQL注射漏洞

http://cor.hinabian.com/invest/detail.html?project_id=12021045

http://cor.hinabian.com/project/detail.html?project_id=12021008

available databases [23]:
mask 区域
*****ctiv*****
 *****_bi*****
 *****omme*****
 *****_co*****
 *****onfi*****
 *****_cr*****
 *****u_to*****
 *****_fi*****
 *****abian*****
 *****_op*****
 *****_rele*****
 *****_qa*****
 *****_tr*****
 *****be_co*****
 *****be_th*****
 *****_us*****
 *****_vi*****
 *****tion_p*****
 *****tion_s*****
 *****ysq*****
 *****ance_s*****
 *****est*****
 *****ent*****
 

用户信息不少

*****sk*****
 

Database: d_user

+-------------+---------+

| Table | Entries |

+-------------+---------+

| t_user_info | 72708 |

+-------------+---------+</mask>

还有个测试平台，登录处的用户名存在注射漏洞

http://pub.hinabian.com/

时间盲注的，简单跑下库名证实真实吧

不跑了，时间注射对业务可能有潜在影响，为了安全到此为止。

都是注射，过滤与限制数据类型即可。

厂商回应：

危害等级：高

漏洞Rank：19

确认时间：2016-02-29 12:11

厂商回复：

非常感谢！马上整改。

最新状态：

暂无

1. 2016-02-26 16:55 | 小红猪 ( 普通白帽子 | Rank:341 漏洞数:62 | little red pig!)

   1

   海那边，哈哈哈...

   1# 回复此人

2. 2016-02-29 12:18 | 小胖子 ( 核心白帽子 | Rank:1888 漏洞数:156 | 不要患得患失，我羡慕你，但是我还是选择做...)

   1

   感谢海那边提供的肉身翻墙礼物，谢谢，我会尽快办理护照。

   2# 回复此人