漏洞概要 关注数(24) 关注此漏洞
缺陷编号:wooyun-2015-0113386
漏洞标题:国土资源系统人事统计网络直报系统存在sql注射漏洞
相关厂商:cncert国家互联网应急中心
漏洞作者: 路人甲
提交时间:2015-05-11 17:26
修复时间:2015-06-29 16:38
公开时间:2015-06-29 16:38
漏洞类型:SQL注射漏洞
危害等级:中
自评Rank:9
漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]
Tags标签: 无
漏洞详情
披露状态:
2015-05-11: 细节已通知厂商并且等待厂商处理中
2015-05-15: 厂商已经确认,细节仅向厂商公开
2015-05-25: 细节向核心白帽子及相关领域专家公开
2015-06-04: 细节向普通白帽子公开
2015-06-14: 细节向实习白帽子公开
2015-06-29: 细节向公众公开
简要描述:
国土资源系统人事统计网络直报系统存在sql注射漏洞,泄漏全国国土资源人事统计数据
详细说明:
国土资源系统人事统计网络直报系统存在sql注射
1. 发现存在列目录漏洞和Webservice接口:
a) 列目录漏洞
b) Webservice接口,反编译ZHTJ_WebService.dll。发现登录接口的代码如下:
2. 发送测试注入的请求,验证可以注入:
3. 使用工具sqlmap注入:
注入请求的内容如下:
注入的命令为:sqlmap -r /root/p.txt --not-string '不存在' --current-user
系统用户表的信息如下:
系统的功能如下:
用户的密码使用base64解码后,为md5值,密码都超级简单。我都不相信!!
连接数据库使用sa,权限还是蛮高的。
没有进一步的内网渗透。
漏洞证明:
上面截图已经可以证明了。
修复方案:
过滤吧,简单使用黑名单, 复杂的用参数查询或存储过程。
版权声明:转载请注明来源 路人甲@乌云
漏洞回应
厂商回应:
危害等级:高
漏洞Rank:12
确认时间:2015-05-15 16:37
厂商回复:
CNVD确认并复现所述情况,已经转由CNCERT向国家上级信息安全协调机构上报,由其后续协调网站管理单位处置.
最新状态:
暂无