漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-08085
漏洞标题：江苏教育考试院查询中心查询中心管理员账号密码泄露漏洞
相关厂商：江苏教育考试院
漏洞作者： wangye
提交时间：2012-06-11 13:23
修复时间：2012-07-26 13:23
公开时间：2012-07-26 13:23
漏洞类型：敏感信息泄露
危害等级：中
自评Rank：6
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-06-11： 细节已通知厂商并且等待厂商处理中
2012-06-14： 厂商已经确认，细节仅向厂商公开
2012-06-24： 细节向核心白帽子及相关领域专家公开
2012-07-04： 细节向普通白帽子公开
2012-07-14： 细节向实习白帽子公开
2012-07-26： 细节向公众公开
简要描述：
江苏教育考试院查询漏洞可获取管理员账号和密码哈希。
详细说明：
漏洞所在URL地址http://stat.jseea.cn/jseea_query/input.do?catlog=1&database=21%2Cdb_169
江苏省教育考试中心查询系统采取分数据库操作，各个数据库的选择通过Query String参数database来实现，其中database=21%2Cdb_169为例，21表示查询模板（用于生成各类表单供用户填写），%2C表示编码的逗号，db_169表示数据库名称，上述解码后为21,db_169，当数据库名称不存在时构造SQL语句出现错误，程序崩溃（显示Java错误）可以看到SQL语句；
同样的当查询模板不存在时也会触发错误：
由于设计上的缺陷，假如我们另行尝试指定一个特殊数据库，比如将db_169这个数据库名称改为user，然后采取特别的查询模板，输入任意值查询，就会得到管理员名称和密码哈希：
漏洞证明：
访问 http://stat.jseea.cn/jseea_query/input.do?catlog=1&database=1%2Cuser
考试编号输入 admin
验证码按显示的输入
点击确定，即可获取管理员名称和哈希后的密码
修复方案：
修改逻辑判断，判断数据库名称是否合法
表单查询模板ID对应绑定特定数据库
版权声明：转载请注明来源 wangye@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：7
确认时间：2012-06-14 14:03
厂商回复：
CNVD确认漏洞并复现所述情况，这个漏洞划归不安全参数引用类型，转由CNCERT江苏分中心处置，同时值高考招生期羊，拟抄报教育部主管司局。
CNVD确认漏洞情况，转由CNCERT国家中心协调中国教育网CERT（CCERT）处置。
对漏洞评分如下：
CVSS：(AV:R/AC:L/Au:NR/C:P/A:N/I:N/B:N) score:4.96（最高10分，中危）
即：远程攻击、攻击难度低、不需要用户认证，对机密性构成部分影响。
技术难度系数：1.0
影响危害系数：1.5（较严重，涉及省厅级政府部门及教育招生网站，存在信息泄露风险，互联网MD5破解威武）
CNVD综合评分：4.96*1.0*1.5=7.44
最新状态：
暂无