P2P金融安全之麻布袋理财SQL注入

admin
admin
admin
141533
文章
117
评论
2017年3月24日06:55:34评论214 views字数 211阅读0分42秒阅读模式
摘要

2016-03-20： 积极联系厂商并且等待厂商认领中，细节不对外公开
2016-05-04： 厂商已经主动忽略漏洞，细节向公众公开

漏洞概要 关注数(1) 关注此漏洞

缺陷编号： WooYun-2016-186823

漏洞标题： P2P金融安全之麻布袋理财SQL注入

相关厂商： 麻布袋

漏洞作者： 路人甲

提交时间： 2016-03-20 00:25

公开时间： 2016-05-04 00:25

漏洞类型： SQL注射漏洞

危害等级： 高

自评Rank： 15

漏洞状态： 未联系到厂商或者厂商积极忽略

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签： SQL注入

0人收藏

漏洞详情

披露状态：

2016-03-20： 积极联系厂商并且等待厂商认领中，细节不对外公开
2016-05-04： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

RT

详细说明：

https://img.mabudai.com/file/request/get?request_attach_id=647&user_uid=4216&token=34259f0eab34a3934fb2778205b4a126

参数request_attach_id存在注入

P2P金融安全之麻布袋理财SQL注入

漏洞证明：

code 区域 
Database: mabudai_deal
 
 +-------------------+
 | Table             |
 +-------------------+
 | tender_repayment  |
 | transfer          | 
 | tender            | 
 | tender_loan       | 
 | tender_unfreeze   | 
 | product_repayment | 
 | request_attach    | 
 | product           |
 | product_content   | 
 | product_invest    | 
 | product_process   | 
 | product_protocol  | 
 | product_risk      | 
 | product_time      | 
 | request           |
 | request_content   | 
 | request_reject    | 
 | bank_limit        | 
 | request_company   |
 | request_field     | 
 | request_person    |
 | brand_pic         |
 | product_attach    |
 | brand             |
 | request_qqw       | 
 | request_finance   | 
 | product_field     | 
 +-------------------+-

修复方案：

NUll

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

漏洞Rank：15 (WooYun评价)

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):

登陆后才能进行评分

评价

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin