雅虎紧急修复了可导致远程命令执行的SQL注入漏洞 _生活知道

最近，因存在严重的SQL漏洞，雅虎的网站遭到了侵入，受到了很大的的影响（注：该网站并不是yahoo主站，而是隶属于yahoo的一个印度创意征集网站，详情见文末）
安全专家、渗透测试师Ebrahim Hegazy（来自的埃及的Zigoo），发现了这枚严重的SQL漏洞。漏洞允许攻击者在root权限下执行任意命令。
一些细节
据Hegazy在blog的发表的文章说，SQL漏洞存在于雅虎的一个网站中，网址是（截止到目前，该漏洞已经被修复，但是网址仍然是可以访问的）
任意远程用户可以篡改上述URL中的“f_id”字符串，而这个字符串正存在注入点可以使攻击者获取到该网站的数据库。（小编注：脱裤子啦快跑啊~~）
下面是图，真图

文章插图
在渗透的过程中， Hegazy发现用户名和密码（密码是Base64加密的）（小编注：看到base64我也是醉了，这也叫加密？这不是编码么。。。）存在注入点的网站，然后他便解码了管理员密码并成功登陆上了网站管理界面。
此外， SQL注入漏洞也任由攻击者进行了远程代码执行，同时存在注入点的网站，因为服务器使用了一个没有打过补丁的内核，所以Hegazy轻易获取了root连接。（小编：雅虎你确定你的网站运维真的不是对手派来的嘛？）
进入管理界面之后。。
管理员界面允许他上传一个文件到服务器上面，但是他发现当他用“phpinifo”函数上传一个文件作为内容之后，上传的文件的后缀并不是“.php”而是“.xrds+xml” 。
但是在接下来的尝试之中，他截断了文件上传请求的数据包，并且将“Content-Type” 改成了 “application/php”，从而成功触发了php代码，使之成功在服务器上面得以运行。
Hegazy于9月5日向雅虎安全团队报告了这个漏洞，而在一天之内雅虎迅速修复了该漏洞。但是雅虎却以该网站不在雅虎的漏洞报告范围为由，并没有给可怜的Hegazy任何报酬，连提也没提。
【雅虎紧急修复了可导致远程命令执行的SQL注入漏洞】本文到此结束，希望对大家有所帮助！

雅虎紧急修复了可导致远程命令执行的SQL注入漏洞

猜你喜欢