漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0106724
漏洞标题：某政府网站管理系统存在sql注入漏洞
相关厂商：cncert国家互联网应急中心
漏洞作者： 小健客
提交时间：2015-04-10 15:49
修复时间：2015-05-29 18:22
公开时间：2015-05-29 18:22
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：12
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-04-10： 细节已通知厂商并且等待厂商处理中
2015-04-14： 厂商已经确认，细节仅向厂商公开
2015-04-24： 细节向核心白帽子及相关领域专家公开
2015-05-04： 细节向普通白帽子公开
2015-05-14： 细节向实习白帽子公开
2015-05-29： 细节向公众公开
简要描述：
貌似是某市通用的网站管理系统
详细说明：
google搜索 inurl:web/index.php site:gov.cn category_id
举个例子 http://www.fyjc.gov.cn/web/index.php?module=information08&act=list&category_id=259 注入参赛 category_id
受影响的部分网站有：
http://www.xybb.gov.cn/web/index.php?module=documents02&category_id=116 新余机构编制网
http://www.xydpc.gov.cn/web/index.php?module=vote&act=list&category_id=82 新余市发展和改革委员会
http://www.xyit.gov.cn/web/index.php?module=information09&act=list&category_id=136 新余信息化办公室
http://www.fyjc.gov.cn/web/index.php?module=information08&act=list&category_id=259 分宜检察网
http://www.xygl.org/web/index.php?module=download&category_id=78 新余公路信息网
http://old.xyaic.gov.cn/web/index.php?module=information01&category_id=60 新余市人力资源和社会保障网
http://www.xyga.gov.cn/web/index.php?module=information05&act=list&category_id=61 新余公安
http://xnh.xybb.gov.cn/web/index.php?module=information03&category_id=46 新余市人力资源和社会保障网
http://www.xyipo.gov.cn/web/index.php?module=information05&act=list&category_id=153 新余市知识产权局
http://www.xybb.gov.cn/web/index.php?module=information20&act=list&category_id=215 党的群众路线教育活动专栏
http://www.xycg.gov.cn/web/index.php?module=information01&category_id=123 新余市城市管理局
http://www.xyfazhi.gov.cn/web/index.php/module-information-category_id-213.htm 新余市人民政府法制办公室
http://www.jxxyfda.gov.cn/web/index.php?module=information14&act=list&category_id=155 新余市市场监督管理局
http://www.xysports.gov.cn/web/index.php?module=policy&category_id=10 新余市体育局
http://www.xycg.gov.cn/web/index.php?module=information02&category_id=137 新余市城市管理局
http://www.xygzw.gov.cn/web/index.php?module=documents&act=list&category_id=61 新余市国有资产监督管理委员会
http://www.xyxfj.gov.cn/web/index.php?module=information01&category_id=106 新余市信访局
http://www.xywqb.gov.cn/web/index.php?module=information01&category_id=202 新余市外事侨务办公室
漏洞证明：
http://www.xydpc.gov.cn/web/index.php?module=vote&act=list&category_id=82
http://www.xyit.gov.cn/web/index.php?module=information09&act=list&category_id=136
http://www.xydpc.gov.cn/web/index.php?module=vote&act=list&category_id=82
http://www.xybb.gov.cn/web/index.php?module=documents02&category_id=116
就不一一列举了
修复方案：
过滤关键字
版权声明：转载请注明来源 小健客@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：16
确认时间：2015-04-14 18:21
厂商回复：
CNVD确认并复现所述漏洞情况，已经转由CNCERT下发给江西分中心，由江西分中心后续协调网站管理单位处置
最新状态：
暂无