北京普诺迪信息系统技术研发有限责任公司
官网:http://www.bjprd.com.cn/index.asp
软件演示:http://www.bjprd.com.cn/lecture.asp
资产管理平台:
http://www.bjprd.com.cn/zcpt/index.asp
看资产管理这里,一共有13个分属管理系统:
设备仪器管理系统:http://www.bjprd.com.cn/sbweb/index.asp
资产汇总与分析系统:http://www.bjprd.com.cn/zcgkweb/login.asp
家具被服装具管理系统:http://www.bjprd.com.cn/jjweb/index.asp
......
等等,不一一列出来了。
这些系统都需要登录后才能使用管理功能。
但是就是在登录这里存在SQL注入。
更严重的是这里的username和password都存在注入,说明这里的password是明文传输和存储的,有木有~~~
官方演示系统证明:
资产汇总与分析系统:http://www.bjprd.com.cn/zcgkweb/login.asp
链接:http://www.bjprd.com.cn/zcgkweb/userslogin.asp?uid=123123123&pwd=123
家具被服装具管理系统:http://www.bjprd.com.cn/jjweb/index.asp:
链接:http://www.bjprd.com.cn/jjweb/userlogin.asp
POST:username=123123123&pass=123123123
这里的username和password都存在注入。
实际案例证明:
天津财经大学家具(被服装具)网络管理系统:http://202.113.128.61/jjweb/
泉州医学高等专科学校家具(被服装具)网络管理系统:http://www.qzygz.com:8091/jjweb/
拿天津财经大学家具(被服装具)网络管理系统:http://202.113.128.61/jjweb/
为例:
链接:http://202.113.128.61/jjweb/userlogin.asp
POST:username=123123123&pass=123123123
其他实际存在的,受影响的案例:
天津师范大学资产综合管理平台:http://59.67.78.170:81/
中南大学资产管理平台:http://202.197.61.13/
天津师范大学资产与实验室综合管理概况:http://59.67.78.170:81/zcgkweb/login.asp
福建中医药大学家具(被服装具)网络管理系统:http://hqglc.fjtcm.edu.cn/jjweb/
西南交通大学仪器设备管理系统:http://202.115.66.234/sbweb/
安徽大学仪器设备管理系统:http://sysbc.ahu.edu.cn:8001/
吉林工商学院资产综合管理平台:http://zcgl.jlbtc.edu.cn/
国有资产管理平台:http://202.113.128.61/
贵州大学国有资产管理平台:http://210.40.3.227/
.....
还有很多为搜索到的案例。