漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-05927
漏洞标题：三亚市人力社保局漏洞
相关厂商：某人力社保局
漏洞作者： Valo洛洛
提交时间：2012-04-11 17:22
修复时间：2012-05-26 17:22
公开时间：2012-05-26 17:22
漏洞类型：用户资料大量泄漏
危害等级：中
自评Rank：10
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-04-11： 细节已通知厂商并且等待厂商处理中
2012-04-12： 厂商已经确认，细节仅向厂商公开
2012-04-22： 细节向核心白帽子及相关领域专家公开
2012-05-02： 细节向普通白帽子公开
2012-05-12： 细节向实习白帽子公开
2012-05-26： 细节向公众公开
简要描述：
gov站别的做不好，好歹把涉及居民资料的站做的好点吧= =
一直拿gov站刷rank，我都不好意思了
详细说明：
海南三亚人事劳务保障局。
本来看到有注入http://www.hisylss.gov.cn/Showbody.asp?c_NewsID=10701
拿啊D扫了下，发现是sa权限的mssql就打算读一下目录，看看绝对路径。
等待的过程中发现存在遍历。。并且还发现了以前的大牛的马儿，http://www.hisylss.gov.cn/Signer/css.asp
admin直接进去了，这也省了事了。
漏洞证明：
当然重点没在这个mssql库里，里面都是站上的新闻神马的，翻了一下，发现有个oracle的库，http://www.hisy.si.gov.cn/IndexSIQryP.jsp对应的是这个站，也就是查询信息的站。
(肿么查询也没加验证= =)
这个oracle是大头了。有库的备份神马的，13个G。。
里面有多少数据我就不知道了。。怎么着也有个百八十万吧，呵呵。
最后看了看还有几个马儿，大牛们发现马儿被删别怪我赶尽杀绝= =
http://www.hisylss.gov.cn/z.asa
http://www.hisylss.gov.cn/Inc/inc/incb/k.asp
修复方案：
天朝V5。
版权声明：转载请注明来源 Valo洛洛@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：13
确认时间：2012-04-12 14:25
厂商回复：
CNVD确认并复现所述情况，同时对于网站存在webshell的情况对各位白帽子再提个建议。善意测试可以用立此存照的方式证明，最好不要过度参与远程控制、信息窃取以及贩卖信息等危害情形。
对该漏洞评分如下：
CVSS评分：(AV:R/AC:L/Au:NR/C:C/A:C/I:C/B:N) Score:10.00（最高10分，高危)
即：远程攻击、攻击难度低、不需要用户认证，对机密性造成完全影响，对可用性、完整性造成部分影响。
技术难度系数：1.0(一般)
影响危害系数：1.3(较严重，暂未进一步评估后台数据情况）
综合评分：10.00*1.3*1.3=13.00
最新状态：
暂无