雅虎紧急修复了可导致远程命令执行的SQL注入漏洞

最近,因存在严重的SQL漏洞,雅虎的网站遭到了侵入,受到了很大的的影响(注:该网站并不是yahoo主站,而是隶属于yahoo的一个印度创意征集网站,详情见文末)

安全专家、渗透测试师Ebrahim Hegazy(来自的埃及的Zigoo),发现了这枚严重的SQL漏洞。漏洞允许攻击者在root权限下执行任意命令。

一些细节

据Hegazy在blog的发表的文章说,SQL漏洞存在于雅虎的一个网站中,网址是http://innovationjockeys.net/tictac_chk_req.php (截止到目前,该漏洞已经被修复,但是网址仍然是可以访问的)

任意远程用户可以篡改上述URL中的“f_id”字符串,而这个字符串正存在注入点可以使攻击者获取到该网站的数据库。(小编注:脱裤子啦快跑啊~~)

下面是图,真图

在渗透的过程中,Hegazy发现用户名和密码(密码是Base64加密的)(小编注:看到base64我也是醉了,这也叫加密?这不是编码么。。。),然后他便解码了管理员密码并成功登陆上了网站管理界面。

此外,SQL注入漏洞也任由攻击者进行了远程代码执行,同时,因为服务器使用了一个没有打过补丁的内核,所以Hegazy轻易获取了root连接。(小编:雅虎你确定你的网站运维真的不是对手派来的嘛?)

进入管理界面之后。。

管理员界面允许他上传一个文件到服务器上面,但是他发现当他用“phpinifo()”函数上传一个文件作为内容之后,上传的文件的后缀并不是“.php”而是“.xrds+xml”。

但是在接下来的尝试之中,他截断了文件上传请求的数据包,并且将“Content-Type” 改成了 “application/php”,从而成功触发了php代码,使之成功在服务器上面得以运行。

Hegazy于9月5日向雅虎安全团队报告了这个漏洞,而在一天之内雅虎迅速修复了该漏洞。但是雅虎却以该网站不在雅虎的漏洞报告范围为由,并没有给可怜的Hegazy任何报酬,连提也没提。

FreeBuf小知识:http://www.innovationjockeys.net/ 该网站是由雅虎开发的位于印度的一个创意征集公司网站,更多详细信息参考这里:https://in.news.yahoo.com/innovation-jockeys/

[参考来源thehackernews.com FreeBuf小编xia0k/转载请注明来自FreeBuf.COM]

原文发布于微信公众号 - FreeBuf(freebuf)

原文发表时间:2014-09-23

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏小樱的经验随笔

Python爬虫笔记(一):爬虫基本入门

最近在做一个项目,这个项目需要使用网络爬虫从特定网站上爬取数据,于是乎,我打算写一个爬虫系列的文章,与大家分享如何编写一个爬虫。这是这个项目的第一篇文章,这次就...

3806
来自专栏微信公众号:Java团长

我的编码习惯 —— 日志规范

开发中日志这个问题,每个公司都强调,也制定了一大堆规范,但根据实际情况看,效果不是很明显,主要是这个东西不好测试和考核,没有日志功能一样跑啊。

992
来自专栏java思维导图

99%的人都理解错了HTTP中GET与POST的区别

1 GET与POST GET和POST是HTTP请求的两种基本方法,要说它们的区别,接触过WEB开发的人都能说出一二。 最直观的区别就是GET把参数包含在URL...

3755
来自专栏小程序解决方案的专栏

3 元购买 Wafer1 指南

进入微信公众平台,点击右上角的【立即注册】,按照流程注册小程序账号。

9780
来自专栏YG小书屋

logstash 重复消费kafka问题

前两天业务方突然找到我说当天索引ES查询很慢,原来毫秒级的查询现在竟然要20s,让我处理下。我看了下索引大小,原来是1分片6g左右,今天突然就变成了1分片32g...

2933
来自专栏腾讯Bugly的专栏

Android 插件技术实战总结

前言 安卓应用开发的大量难题,其实最后都需要插件技术去解决。 现今插件技术的使用非常普遍,比如微信、QQ、淘宝、天猫、空间、携程、大众点评、手机管家等等这些大家...

3776
来自专栏蛋未明的专栏

myweb0.3更新说明

1455
来自专栏FreeBuf

关于“入侵检测”的一些想法

离开长沙的时候写了一篇文章“左右互博:站在攻击者的角度来做防护”(freebuf上可以找到),一晃已经是三年了。这三年接触了很多东西,自己也有过很多想法,但实际...

2330
来自专栏小程序

【云加小程序2018年4月】更新日志

1754
来自专栏程序员八阿哥

王老板Python面试(1):HTTP中GET与POST的区别?

GET和POST是HTTP请求的两种基本方法,要说它们的区别,接触过WEB开发的人都能说出一二。

1021

扫码关注云+社区

领取腾讯云代金券