漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-056555
漏洞标题：中国期货业协会网站存在sql注入漏洞
相关厂商：中国期货业协会
漏洞作者： bitcoin
提交时间：2014-04-10 16:36
修复时间：2014-05-25 16:37
公开时间：2014-05-25 16:37
漏洞类型：SQL注射漏洞
危害等级：中
自评Rank：10
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-04-10： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-05-25： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
中国期货业协会网站存在sql注入漏洞，
中国期货业协会（以下简称协会）成立于2000年12月29日，是根据《社会团体登记管理条例》设立的全国期货行业自律性组织，为非营利性的社会团体法人。协会的注册地和常设机构设在北京。协会接受中国证监会和国家社会团体登记管理机关的业务指导和管理。
详细说明：
该注入点位于主页http://www.cfachina.org中
从业人员查询，按姓名搜索处，对参数name过滤不严。
抓包
POST /infodisclosure.php?show=person HTTP/1.1
Host: www.cfachina.org
Proxy-Connection: keep-alive
Content-Length: 18
Cache-Control: max-age=0
Origin: http://www.cfachina.org
User-Agent: Mozilla/5.0 (Windows NT 5.1) AppleWebKit/537.11 (KHTML, like Gecko) Chrome/23.0.1271.64 Safari/537.11
Content-Type: application/x-www-form-urlencoded
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Referer: http://www.cfachina.org/index.php?id=1
Accept-Encoding: gzip,deflate,sdch
Accept-Language: zh-CN,zh;q=0.8
Accept-Charset: GBK,utf-8;q=0.7,*;q=0.3
Cookie: _cookietime=31536000; BOKADOTCNSITEENGINE=ANauNK; siteengine_countarea=1
name=1111&x=15&y=5
让sqlmap跑起来
漏洞证明：
如上
修复方案：
过滤
版权声明：转载请注明来源 bitcoin@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝