当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0165575

漏洞标题: 山东某市就业网SQL注入一枚泄露大量个人信息(包括家庭住址,电话,邮箱等等)

相关厂商:cncert国家互联网应急中心

漏洞作者: leave

提交时间:2015-12-29 00:06

修复时间:2016-02-12 18:49

公开时间:2016-02-12 18:49

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:20

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-12-29: 细节已通知厂商并且等待厂商处理中
2016-01-04: 厂商已经确认,细节仅向厂商公开
2016-01-14: 细节向核心白帽子及相关领域专家公开
2016-01-24: 细节向普通白帽子公开
2016-02-03: 细节向实习白帽子公开
2016-02-12: 细节向公众公开

简要描述:

以前,我没觉得信息泄露有什么了不起 直到我发现这个sql注入 泄露了大量个人信息 包括家庭住址(有些具体到门牌号) 邮箱 电话 毕业学校 生日 学历 姓名 好了 废话不多说 看看具体的泄露内容吧

详细说明:

注入点: http://**.**.**.**/viewnews.asp?id=4540
首先是注入管理员的用户名和密码

1.png

2.png

3.png

4.png

5.png


管理员账号密码都出来了 可惜密码md5值是收费的

6.png


后台也找到了 http://**.**.**.**/admin/denglu.htm
你以为到这里就结束了?好戏才刚刚开始!!!
我又翻了翻数据库 这一翻不要紧 翻出了大量个人信息
在 ytjob 数据库 person 表中 安静的放着各种个人信息
Database: ytjob
Table: person
[35 columns]
+-------------+----------+
| Column | Type |
+-------------+----------+
| address | nvarchar |
| birthday | nvarchar |
| bytime | nvarchar |
| dan | nvarchar |
| email | nvarchar |
| english | nvarchar |
| grade | int |
| hiden | int |
| hk | nvarchar |
| homeaddress | nvarchar |
| id | int |
| jiaoyu | ntext |
| jobyear | nvarchar |
| lei | nvarchar |
| minzu | nvarchar |
| mob | nvarchar |
| msn | nvarchar |
| myself | ntext |
| name | nvarchar |
| nianxin | nvarchar |
| pass | nvarchar |
| peixun | ntext |
| post | nvarchar |
| pwork | ntext |
| qixian | nvarchar |
| regtime | datetime |
| school | nvarchar |
| sex | nvarchar |
| tel | nvarchar |
| tela | nvarchar |
| tid | varchar |
| uname | nvarchar |
| xinchou | nvarchar |
| xueli | nvarchar |
| zz | nvarchar |
+-------------+----------+
可以从名字中看出来 有住址 邮箱 电话 姓名 等等敏感信息 由于数据太多 我就不全都跑出来了 这里以住址为例 跑一下数据
这里有两个address 我跑的是 homeaddress 这个
上图

4.png

1.png

2.png

3.png

可以跑出具体的家庭住址 还有很多其他个人信息 这里就不跑了
最后 小菜挖个注入不容易 还希望厂家能尽量多给点rank 谢谢!

漏洞证明:

同上

修复方案:

过滤

版权声明:转载请注明来源 leave@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:10

确认时间:2016-01-04 18:17

厂商回复:

CNVD确认并复现所述情况,已经转由CNCERT下发给山东分中心,由其后续协调网站管理单位处置.

最新状态:

暂无