漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0136005
漏洞标题： 上业学术门户网站后台管理系统存在SQL漏洞
相关厂商：上海上业信息科技有限公司
漏洞作者： 徐凤年
提交时间：2015-08-25 19:14
修复时间：2015-10-10 20:28
公开时间：2015-10-10 20:28
漏洞类型：SQL注射漏洞
危害等级：中
自评Rank：6
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-08-25： 细节已通知厂商并且等待厂商处理中
2015-08-26： cncert国家互联网应急中心暂未能联系到相关单位，细节仅向通报机构公开
2015-09-05： 细节向核心白帽子及相关领域专家公开
2015-09-15： 细节向普通白帽子公开
2015-09-25： 细节向实习白帽子公开
2015-10-10： 细节向公众公开
简要描述：
上业学术门户网站后台管理系统为多所高校（如中科大，中国地质大学，首都经贸大学等）提供建库发布或者学术门户管理系统，在后台管理界面的“忘记密码找回”处存在SQL注入点，使得管理员帐号密码泄漏。
详细说明：
以首都经贸大学图书馆后台管理系统为例说明
url:**.**.**.**:81/
该界面密码只要输错一次就会出现验证码，因此，常规爆破方式可能不行
试着点击一下“忘记密码，请点击这里”，出现找回密码界面，经测试admin是管理员名称，无语的是，这个页面的验证码在输错用户名时是不会变的，因此，又可以尝试猜解其他用户名（此处不提）
然后，打开控制台发现了，这个admin的找回密码的界面的url是**.**.**.**:81/Account/SelectionMethod.aspx?arikcal=0d6d8ec4-4f18-4e69-bb60-ad965700be26
其实一开始看见这个链接，心里很无奈的，arikcal是什么？0d6d8ec4-4f18-4e69-bb60-ad965700be26又是什么？后来才发现这串是admin的C_Guid，真是醉了
先不管三七二十一，放到sqlmap里跑一下吧
没想到还真跑出来了，arikcal居然是敏感字段，这字段名谁取的。。。
继续，--tables，接着跑出了4个库，800+的表，sqlmap都不能显示了
Database: Sy_Core_APS_V2.1jm
[247 tables]
Database: tempdb
[7 tables]
Database: master
[360 tables]
Database: msdb
[220 tables]
然后就是苦逼地找敏感表啊，什么user,admin,login,member...都去找，都找不到啊，后来终于在Sy_Users_User表找到了password
然后发现无论是admin和其他角色密码全是弱口令111111，而且还以MD5密文+明文的形式存储在password字段，真是生怕哥还要拿去解密啊。。。
然后，我们去登一下，密码就是111111（早知道，拿弱口令一个个试好了，醉了）
进去了，发现界面还挺好看的
系统平台下，自带日志审计，倒是方便我清除日志了
然后有个图书馆成员审核，居然在里面看见了习总和彭妈。。。这管理员真心不怕查水表啊
然后看看这个上业科技，url:http://**.**.**.**/，产品如下
主要为高校提供建库发布或者学术门户管理系统，还有图书光盘管理系统，合作用户包括中科大，宁波大学，中国地质大学等多家高校，利用该漏洞，可以掌握上述高校图书信息，借阅者（学生，教师）信息，图书馆员工信息，高校图书馆馆藏光盘信息等等，具体的还没来得及深入挖掘，毕竟800+的表，里面的内容肯定很多的
漏洞证明：
证明就是几张图
这是小弟第一次发漏洞，中间有什么不对或者违规的的地方，求大牛轻喷，求乌云邀请码啊，不是白帽子不能检索啊，真心欲哭无泪啊
修复方案：
1.此类管理后台限制为内网访问，严禁外网访问
2.找回密码处的验证码应正确设置，避免出现输入错误的用户名，验证码仍然不变，防止猜解管理员名
3.arikcal字段的SQL注入，该怎么防注入就怎么防，此处为GET方式注入，安全性堪忧
4.找回密码处的邮箱重置密码，麻烦验证下邮箱的有效性；还有就是底下的联系工作人员找回密码。。。你确定admin@**.**.**.**这么屌的邮箱不是网易内部而是你们公司的？
5.顺便一提，用扫描器扫了一遍，别的漏洞还有很多，请注意查查其他方面
版权声明：转载请注明来源 徐凤年@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：11
确认时间：2015-08-26 20:27
厂商回复：
CNVD确认并复现所述情况，已由CNVD通过软件生产厂商公开联系渠道向其邮件通报，由其后续提供解决方案并协调相关用户单位处置。
最新状态：
暂无