记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华

看我如何利用一个弱口令影响整个搜狐焦点网的所有论坛的帖子和用户(大数据系列)#1

2014-07-18 13:00

无意中看到浩天大牛提交的注入漏洞。

地址是:http://house.focus.cn/reviewhouse/review_forum_detail.php?user_id=48299521' and 1=2 and '%'='% 打开发现有一个测试帐号

QQ截图20140531233015.jpg

尝试登录 liuna129 liuna129

QQ截图20140531233227.jpg

卧槽,登录成功 什么j8人品。 登录进来了,肯定要去逛逛。

随便逛了一下论坛,发现我的权限还真大,封IP,删帖等等...都可以

QQ截图20140531233558.jpg

而且每个论坛都可以管理。我感觉貌似整个网站所有的论坛我都可以管理。

QQ截图20140531193830.jpg

为了证实我的权限是管理员权限我去找了一下后台。没想到还真让我找到了一个 http://sh.focus.cn/entrance.php?m=common/private/modules/admin/controllers&c=admin_manage&a=public_init

搜狐焦点楼盘数据库管理

QQ截图20140601181519.jpg

我的帐号能登录就去,果然,我是系统管理员的权限

QQ截图20140601182153.jpg

尝试拿shell 找上传,多次测试最后没有拿下shell。 - - 拿不下,那就算了,随便逛逛,我突然想起,像这样的站点应该有个什么积分兑换的! 我翻了一下,还真找到了几个

QQ截图20140601201637.jpg

而且还有积分后台,好奇心叫我点一下

QQ截图20140601201752.jpg

发现还可以修改兑换物品的积分,我本来想修改的,兑换几个东西的。但是我怕修改了以后会很多人兑换,所以就没有修改....

还有很多很多....

先到这里,下一个洞更精彩。

漏洞证明:

QQ截图20140601182153.jpg









QQ截图20140601201752.jpg





此弱口令将会引起连锁反应。



主要是他的权限太大。

修复方案:

拒绝弱口令。



还有,求礼物。 求高rank,我需要资金买电脑,我跟电脑是真心相爱的,我爸硬要把我们拆散。 所以我必须要买一台笔记本,但是我是一个苦逼的学生,买不起啊! - -、



请问怎么样才可以一下子获得400~500乌云币?或者怎么样才能一下子获得4000~5000人民币?



厂家,你看完以后请私密我,我有事跟你商量。 3Q


知识来源: www.wooyun.org/bugs/wooyun-2014-063148

阅读:92656 | 评论:0 | 标签:无

想收藏或者和大家分享这篇好文章→复制链接地址

“看我如何利用一个弱口令影响整个搜狐焦点网的所有论坛的帖子和用户(大数据系列)#1”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

ADS

标签云