当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-081115

漏洞标题：电力高级人才网，另一处POST注入，涉及公司信息及求职者信息

相关厂商：电力高级人才网

漏洞作者： snoopy

提交时间：2014-10-29 11:08

修复时间：2014-12-13 11:10

公开时间：2014-12-13 11:10

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：10

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-10-29： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-12-13： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

详细说明：

电力高级人才网（http://www.dlgaoji.com）
资料下载模块（http://www.dlgaoji.com/filedown.aspx），查询功能存在POST注入。
参数：srchtxt

POST /filedown.aspx HTTP/1.1
Host: www.dlgaoji.com
Proxy-Connection: keep-alive
Content-Length: 320
Cache-Control: max-age=0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Origin: http://www.dlgaoji.com
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/31.0.1650.63 Safari/537.36 SE 2.X MetaSr 1.0
Content-Type: application/x-www-form-urlencoded
Referer: http://www.dlgaoji.com/filedown.aspx
Accept-Encoding: gzip,deflate,sdch
Accept-Language: zh-CN,zh;q=0.8
Cookie: bdshare_firstime=1414462707357; TKPaoPao=true; CNZZDATA4520082=cnzz_eid%3D1958435005-1414462797-http%253A%252F%252Fwww.dlgaoji.com%252F%26ntime%3D1414495508; Hm_lvt_f5127c6793d40d199f68042b8a63e725=1414465484,1414465558,1414465563,1414495509; Hm_lpvt_f5127c6793d40d199f68042b8a63e725=1414495511
__EVENTTARGET=&__EVENTARGUMENT=&__VIEWSTATE=%2FwEPDwUKMTY4NDkwODkxNw8WBB4QQ3VycmVudFBhZ2VJbmRleGYeCVBhZ2VDb3VudAINFgJmD2QWCAIBDw8WAh4EVGV4dAUP5b2T5YmN56ysIDEg6aG1ZGQCAg8PFgIfAgUK5YWxIDEzIOmhtWRkAgMPDxYCHgdFbmFibGVkaGRkAgQPDxYCHwNoZGRkY5WQU0bS0PoBg4ClNmC%2Fstkbk4I%3D&__VIEWSTATEGENERATOR=0A893FD4&srchtxt=aa*&btn_search=

漏洞证明：

3.jpg


2.jpg


4.jpg


6.jpg

修复方案：

版权声明：转载请注明来源 snoopy@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝