雅虎紧急修复了可导致远程命令执行的SQL注入漏洞

2014-09-23 182672人围观 ,发现 12 个不明物体 漏洞资讯

*本文中涉及到的相关漏洞已报送厂商并得到修复,本文仅限技术研究与讨论,严禁用于非法用途,否则产生的一切后果自行承担。


最近,因存在严重的SQL漏洞,雅虎的网站遭到了侵入,受到了很大的的影响(注:该网站并不是yahoo主站,而是隶属于yahoo的一个印度创意征集网站,详情见文末)

安全专家、渗透测试师Ebrahim Hegazy(来自的埃及的Zigoo),发现了这枚严重的SQL漏洞。漏洞允许攻击者在root权限下执行任意命令。

一些细节

据Hegazy在blog的发表的文章说,SQL漏洞存在于雅虎的一个网站中,网址是http://innovationjockeys.net/tictac_chk_req.php (截止到目前,该漏洞已经被修复,但是网址仍然是可以访问的)

任意远程用户可以篡改上述URL中的“f_id”字符串,而这个字符串正存在注入点可以使攻击者获取到该网站的数据库。(小编注:脱裤子啦快跑啊~~

下面是图,真图

在渗透的过程中,Hegazy发现用户名和密码(密码是Base64加密的)(小编注:看到base64我也是醉了,这也叫加密?这不是编码么。。。),然后他便解码了管理员密码并成功登陆上了网站管理界面。

此外,SQL注入漏洞也任由攻击者进行了远程代码执行,同时,因为服务器使用了一个没有打过补丁的内核,所以Hegazy轻易获取了root连接。(小编:雅虎你确定你的网站运维真的不是对手派来的嘛?)

进入管理界面之后。。

管理员界面允许他上传一个文件到服务器上面,但是他发现当他上传了一个包含“phpinifo()”函数文件之后,上传的文件的后缀并不是“.php”而是“.xrds+xml”。

但是在接下来的尝试之中,他截断了文件上传请求的数据包,并且将“Content-Type” 改成了 “application/php”,从而成功触发了php代码,使之成功在服务器上面得以运行。

Hegazy于9月5日向雅虎安全团队报告了这个漏洞,而在一天之内雅虎迅速修复了该漏洞。但是雅虎却以该网站不在雅虎的漏洞报告范围为由,并没有给可怜的Hegazy任何报酬,连提也没提。

FreeBuf小知识:http://www.innovationjockeys.net/ 该网站是由雅虎开发的位于印度的一个创意征集公司网站,更多详细信息参考这里:https://in.news.yahoo.com/innovation-jockeys/

[参考来源thehackernews.com  FreeBuf小编xia0k/转载请注明来自FreeBuf.COM]

相关推荐
发表评论

已有 12 条评论

取消
Loading...
xia0k

这家伙太懒,还未填写个人描述!

34 文章数 109 评论数 1 关注者

文章目录

    特别推荐

    推荐关注

    官方公众号

    聚焦企业安全

    填写个人信息

    姓名
    电话
    邮箱
    公司
    行业
    职位
    css.php