漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-098016
漏洞标题：广州易宝爱普讯某业务注入漏洞（影响内部OA）
相关厂商：易宝爱普讯
漏洞作者： greensoul
提交时间：2015-02-27 16:01
修复时间：2015-04-13 16:58
公开时间：2015-04-13 16:58
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-02-27： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-04-13： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
广州易宝爱普讯电信科技有限公司是专业从事电信领域的计算机软件开发、系统集成的高新技术企业。
公司的目标是成为电信运营商的技术支持专家，我们对用户的承诺是"用户之需求，我们之追求"。
详细说明：
发乌云的时候网站可能在维护，没有及时保存检测过程，只有一些截图。
承接的一个微信项目的活动中存在sql注入漏洞，并且该项目和内部的工作平台使用同一个系统和同一个数据库，导致可以从该微信项目的sql注入获得内部工作平台的登录权限。
通过内部工作平台可以获得公司所承接的项目详情，内部员工信息，内部员工福利待遇。危害比较大。
漏洞证明：
（现在已经关闭）
有一些sqlmap记录。
除了这个注入漏洞外，还发现贵公司的工作平台员工的帐号密码都比较弱，容易被人爆破或者社工。
帐号：
基本都是以该员工的拼音作为账户名
密码：
基本是Aa111111（目测是默认密码），Aa000000,Aa123456
修复方案：
1.过滤
2.项目和内部工作平台应该分开架设，起码数据库不要共用吧
3.员工的密码应该强制修改，不要用默认密码或与默认密码相近
4.工作平台系统能不对外就不对外把
版权声明：转载请注明来源 greensoul@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝