雅虎紧急修复了可导致远程命令执行的SQL注入漏洞

最近，因存在严重的SQL漏洞，雅虎的网站遭到了侵入，受到了很大的的影响（注：该网站并不是yahoo主站，而是隶属于yahoo的一个印度创意征集网站，详情见文末）

安全专家、渗透测试师Ebrahim Hegazy（来自的埃及的Zigoo），发现了这枚严重的SQL漏洞。漏洞允许攻击者在root权限下执行任意命令。

一些细节

据Hegazy在blog的发表的文章说，SQL漏洞存在于雅虎的一个网站中，网址是http://innovationjockeys.net/tictac_chk_req.php （截止到目前，该漏洞已经被修复，但是网址仍然是可以访问的）

任意远程用户可以篡改上述URL中的“f_id”字符串，而这个字符串正存在注入点可以使攻击者获取到该网站的数据库。（小编注：脱裤子啦快跑啊~~）

下面是图，真图

在渗透的过程中，Hegazy发现用户名和密码（密码是Base64加密的）（小编注：看到base64我也是醉了，这也叫加密？这不是编码么。。。），然后他便解码了管理员密码并成功登陆上了网站管理界面。

此外，SQL注入漏洞也任由攻击者进行了远程代码执行，同时，因为服务器使用了一个没有打过补丁的内核，所以Hegazy轻易获取了root连接。（小编：雅虎你确定你的网站运维真的不是对手派来的嘛？）

进入管理界面之后。。

管理员界面允许他上传一个文件到服务器上面，但是他发现当他用“phpinifo()”函数上传一个文件作为内容之后，上传的文件的后缀并不是“.php”而是“.xrds+xml”。

但是在接下来的尝试之中，他截断了文件上传请求的数据包，并且将“Content-Type” 改成了 “application/php”，从而成功触发了php代码，使之成功在服务器上面得以运行。

Hegazy于9月5日向雅虎安全团队报告了这个漏洞，而在一天之内雅虎迅速修复了该漏洞。但是雅虎却以该网站不在雅虎的漏洞报告范围为由，并没有给可怜的Hegazy任何报酬，连提也没提。

FreeBuf小知识：http://www.innovationjockeys.net/ 该网站是由雅虎开发的位于印度的一个创意征集公司网站，更多详细信息参考这里：https://in.news.yahoo.com/innovation-jockeys/

[参考来源thehackernews.com FreeBuf小编xia0k/转载请注明来自FreeBuf.COM]