当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0100851

漏洞标题：某市敏感部门某系统SQL注入可导致信息泄露

相关厂商：某市敏感部门

漏洞作者： 路人甲

提交时间：2015-03-13 12:35

修复时间：2015-04-27 12:36

公开时间：2015-04-27 12:36

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：已交由第三方合作机构(公安部一所)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-03-13： 细节已通知厂商并且等待厂商处理中
2015-03-13： 厂商已经确认，细节仅向厂商公开
2015-03-23： 细节向核心白帽子及相关领域专家公开
2015-04-02： 细节向普通白帽子公开
2015-04-12： 细节向实习白帽子公开
2015-04-27： 细节向公众公开

简要描述：

很高兴公安研究所和乌云能在安全方面达成共识，公民信息泄露状况严重的今天，作为一位公民，也有义务为公民信息保护尽一份力，那就先从西南地区找起吧，xx系列1--xxxxx局。

详细说明：

mask 区域 
1.://**.**.**//www.cqga.gov.cn/_
**********
*****辆查询、缴获物品查询、刑事案件^*****
**********
*****息，出入境证件^*****
**********
*****^*****
2.http://**.**.**/XjzdSearch/CarSearch.aspx_
3.http://**.**.**/XjzdSearch/CaptureGoodsSearch.aspx_
**********
*****行过滤，导^*****
**********
*****rch/CarSearch*****
*****qga.go*****
*****ion: ke*****
*****ength*****
*****ol: ma*****
*****,application/xml;q=0*****
*****www.cqga*****
*****bKit/537.36 (KHTML, like Gec*****
*****on/x-www-for*****
*****v.cn/XjzdSearc*****
*****: gzip, *****
*****;q=0.8,zh-TW;*****
*****261222672pcp7k14; _gscs_1130599215=*****
**********
*****tHPHM=123&txtFDJH=&txtCJH=&txtVIN=&imgSearch.x=58&imgSearch.y=13&__E*****
**********
**********
*****3db26c9c9445d440459d.jpg&qu*****
**********
*****d29b95ca09fc652821da.jpg&qu*****

漏洞证明：

dba.jpg


18个库，其中不乏包括Gajpublicmail等敏感信息库，粗略的看了下内容条数还是不少。

修复方案：

对全站所有涉及用户查询等操作的进行数据处理。

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：8

确认时间：2015-03-13 13:10

厂商回复：

验证确认存在所描述的问题，已通知其修复。

最新状态：

暂无