乌云(WooYun.org)历史漏洞查询---http://wy.zone.ci/
乌云 Drops 文章在线浏览--------http://drop.zone.ci/
2014-06-18: 细节已通知厂商并且等待厂商处理中 2014-06-23: 厂商已经确认,细节仅向厂商公开 2014-06-26: 细节向第三方安全合作伙伴开放 2014-08-17: 细节向核心白帽子及相关领域专家公开 2014-08-27: 细节向普通白帽子公开 2014-09-06: 细节向实习白帽子公开 2014-09-16: 细节向公众公开
SQL注射
WooYun: 某套信访系统通用SQL注入影响大量政府学校网站 同一套系统的其他注射点1.大量政府及学校网站使用了这套系统:google
inurl:ruleshow.aspinurl:visitshow.aspinurl:visitseacrch.aspinurl:rulelist.asp
2.漏洞描述:注射点rulelist.asp?cid
http://210.30.208.159/sos/rulelist.asp?cid=1
access盲注
3.互联网案例:这里借用@U神 的收集结果
http://www.dbs110.gov.cn/wsjb/ 调兵山市公安局网上举报系统 【调兵山市公安局】http://www.antu.gov.cn/xinfang/ 安图县人民政府信访系统 【安图政务信息网】http://www.jyj.changzhi.gov.cn/jzxx/ 长治市教育局局长信箱 【长治市教育局】http://www.yiliang.gov.cn/xf/ 宜良县人民政府网上信访 【宜良县人民政府网】http://www.xjgl.gov.cn/xzxx/ 巩留县人民政府>县长信箱 【巩留县人民政府】 http://www.qyx.gov.cn/wsxinfang/ 清苑县人民政府信访系统 【清苑县人民政府】http://www.qjetc.gov.cn/sfwt/ 曲靖市工业信息化委员会 四风问题征求意见箱 【曲靖市工业和信息化委员会政务网】http://www.nbgt.gov.cn/aspx/nbgtxf/ 南部县国土资源局-在线信访 【四川省南部县国土资源局】http://www.dbecz.gov.cn/xinfan/ 成都温江区人大信访系统 【丹东边境经济合作区】http://www.sidui.gov.cn/xinfang1/ 连云港市灌云县四队镇信访系统--案例公开 【四队镇人民政府】http://www.dxmzj.gov.cn/jzxx/ 达县民政局 局长信箱 【达县民政局】http://www.cdws.gov.cn/web/mail_book/ 承德卫生局 社会监督网络信箱系统 【承德卫生局】http://www.czjqjcy.gov.cn/jzxx/ 长治市教育局局长信箱 【长治市教育局】http://www.lxzjc.gov.cn/jubao/ 临夏回族自治州人民检察院-网上举报中心 【临夏回族自治州人民检察院】http://www.yjxzzb.gov.cn/ 中共印江县委组织部12380举报网站 【中共印江县委组织部】http://wsj.hcq.gov.cn/webxfasp/ 惠城区卫生局网上信访 【惠城区卫生局】 http://www.jsjhcz.gov.cn/czyx/ 党的群众路线教育实践活动意见箱 【建湖县财政局】http://www.dyqxfj.gov.cn/xfsys/ 中共东营区委、东营区人民政府信访局 【中共东营区委、东营区人民政府】http://www.flqzgzw.gov.cn/xf/ 重庆市涪陵区网上信访系统 【涪陵群众工作网】http://www.jxqgb.gov.cn/wangshangxinfang/ 成都温江区人大信访系统 【绩溪县委群众工作部】http://www.ysland.gov.cn/xinfang/ 偃师市国土资源局网上信访系统 【偃师市国土资源局】http://www.lbgkfq.gov.cn/xinfan/ 海安滨海新区网上信访 【江苏省海安滨海新区】http://www.ggpolice.gov.cn/wyhswysb1/ 高港网上110 【高港网上110】http://www.qyqga.gov.cn/xinfan/ 青原区公安局网上信访--信访查找 【吉安市公安局青原分局】http://www.njxzzx.org/njxfj/wsxf/ 南靖县信访局网上信访系统 【南靖县行政服务中心】http://wzbtv.com/sfrx/ 三风热线信访系统 【重庆万州广播电视台】http://www.lyjr110.cn/ts/ 龙游县金融消费投诉网 【金融服务110】http://www.julu110.cn/xinfang/ 巨鹿县公安局网上信访接待室 【巨鹿公安网】http://www.dbecz.gov.cn/xinfan/ 丹东边境经济合作区网上投诉 【丹东边境经济合作区】http://www.nxky.cn/tsxt/ 汉中运输总公司宁西有限公司 【陕西汉中宁西实业集团】http://www.lsyhjd.com/xinfan/ 立山区友好街道办事处信访系统 【立山区友好街道办事处】http://www.jxqxj.com/xinfan/ 介休气象局行政审批 【介休气象局网】http://12366.qzww.com:88/xf/ 益税通纳税服务 【青州国税】http://www.hyls.cn/xf/3 四川省华蓥市粮食局网上信访 【华蓥粮食局】http://hlqqzemail.host.aixin114.com/ 华龙区信箱 【华龙区信箱】http://www.jxqgb.gov.cn/wangshangxinfang/ 成都温江区人大信访系统 【绩溪县委群众工作部】http://bqxmzj.com/xf/ 拜泉县民政局 【拜泉县民政局】http://60.211.253.196:81/jwxx/ 金乡廉政网纪委信箱 【金乡廉政网】http://oa.glszyz.org/v_tousu/ 橄榄树志愿者团队投诉系统 【橄榄树志愿者网上 工作平台】http://www.pxkss.com/ 蒲县看守所网上办事大厅 【蒲县看守所网】 教育学校机构存在该系统的网站: http://www.cijiedu.com/xzxx/ 慈吉小学校长信箱 http://210.30.208.159/sos/ 外国语学院学生生活SOS平台http://222.90.76.146/jjsh/ts/ 西安外国语大学管理效能投诉受理中心http://www.zsms.cc/xzmail/ 舟山航海学校校长信箱http://www.myesms.net/zf/ 绵阳实验高级中学校长信箱http://www.gysy1.com/mail/ 贵阳市第一实验小学—校长信箱http://syesx.syjyw.net/email/ 三元区第二实验小学校长信箱http://www.wzgxzx.com/xzxx/ 瓯海区郭溪中学校长信箱http://weiquan.jlccsme.com/ 长春市中小企业法律在线系统
sqlmap_test:
Tables:
columns:[admin]
默认后台:/admin/login.asp通过注入得到密码进后台,对这些网站影响还是比较严重的。仅测试漏洞,不再进一步证明。
危害等级:高
漏洞Rank:20
确认时间:2014-06-23 08:30
cnvd确认并复现所述案例情况,根据测试结果,已经转 由cncert下发辽宁、吉林、云南、新疆、四川、山西、山东、江苏、河北、广东、甘肃等 分中心处置。
暂无