漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-073039
漏洞标题：看到数据库之后我都惊呆了
相关厂商：http://www.qqhr.gov.cn/
漏洞作者： 拨开乌云
提交时间：2014-08-19 17:33
修复时间：2014-10-03 17:34
公开时间：2014-10-03 17:34
漏洞类型：网络敏感信息泄漏
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-08-19： 细节已通知厂商并且等待厂商处理中
2014-08-23： 厂商已经确认，细节仅向厂商公开
2014-09-02： 细节向核心白帽子及相关领域专家公开
2014-09-12： 细节向普通白帽子公开
2014-09-22： 细节向实习白帽子公开
2014-10-03： 细节向公众公开
简要描述：
SQL注入，且成功登陆后台。
详细说明：
注入点：http://fw.qqhr.gov.cn/fw_more.php?fw_id=37
本来就想试试看的，以为政府网应该没那么简单,sqlmap一下。。。
好久没见过这么清晰的数据库了，回过头去翻翻网站。。。
发现后台地址一枚：http://www.qqhr.gov.cn/login.jsp
![WMJI]NP}SQ_4{F{TKW$[ICK.jpg](http://wimg.zone.ci/upload/201408/19160014069d9dba71e8f3e7ec96e5abd56f3f08.jpg)
我也真的是醉了，尽然把所有登陆入口放一块了，我准备进中间个吧，哈哈。。。回去翻翻裤子，觉得应该是这个【 qqhrgov】
再注入一下。。。
![[UMZ~Q4{7X7_%]73P89)MPM.jpg](http://wimg.zone.ci/upload/201408/191601590432975e6a565629423f53dc87105cad.jpg)
密码简单粗暴啊。
看看能不能进。。。
全程无压力，顺畅无比的说。
漏洞证明：
如上,求rank哦。
修复方案：
这个我真的不知道该怎么说了，先做过滤吧，然后改改后台地址。要求用户把密码设置的复杂点。
版权声明：转载请注明来源 拨开乌云@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：17
确认时间：2014-08-23 23:40
厂商回复：
CNVD确认并复现所述情况，已经转由CNCERT下发给黑龙江分中心，由其后续协调网站管理单位处置。按运行安全风险评分，rank 17
最新状态：
暂无