漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-08475
漏洞标题：中国国家人事人才培训网分站SQL注入
相关厂商：中国国家人事人才培训网子站
漏洞作者： 汉时明月
提交时间：2012-06-19 14:38
修复时间：2012-06-24 14:38
公开时间：2012-06-24 14:38
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：12
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-06-19： 细节已通知厂商并且等待厂商处理中
2012-06-24： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
中国国家人事人才培训网下属分站，大量SQL注入漏洞，可随意查询培训证书
详细说明：
中国国家人事人才培训网http://www.chinanet.gov.cn/，下属CCAT培训和证书查询网站存在大量SQL注入漏洞，后台可上传shell，
证书查询：http://www.ccat.net.cn/certificates/，输入1' or '1'='1可随意查询
后台登录http://www.ccat.net.cn/admin/index.asp存在SQL注入，可登录后台构造特殊目录上传Shell
漏洞证明：
有5万多CCAT证书人员信息，access数据库可下载，主页已被人加恶意链接
修复方案：
修复SQL注入
版权声明：转载请注明来源 汉时明月@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2012-06-24 14:38
厂商回复：
漏洞Rank：9 (WooYun评价)
最新状态：
2012-06-24：因周末未及处置，导致提前公开。部分未公开的漏洞情况在汉时明月同学帮助下复现，转由CNCERT国家中心在周一直接联系涉事单位处置。抱歉。