漏洞概要 关注数(24) 关注此漏洞
缺陷编号:wooyun-2015-099147
漏洞标题:某通用型系统SQL注入,涉及大量政府,医院,企业。泄露大量数据!(两处打包!!!)
相关厂商:南昌远景科技通
漏洞作者: 路人甲
提交时间:2015-03-09 12:11
修复时间:2015-04-30 18:48
公开时间:2015-04-30 18:48
漏洞类型:SQL注射漏洞
危害等级:高
自评Rank:20
漏洞状态:未联系到厂商或者厂商积极忽略
漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]
Tags标签: 无
漏洞详情
披露状态:
2015-03-09: 积极联系厂商并且等待厂商认领中,细节不对外公开
2015-04-30: 厂商已经主动忽略漏洞,细节向公众公开
简要描述:
某通用型系统SQL注入,涉及大量政府,医院,企业。泄露大量数据!(两处打包!!!)
详细说明:
南昌远景科技通用系统。
存在漏洞的参数第一处:
About.asp?里的id
放进sqlmap跑了
http://www.xipute.com/About.asp?id=7
http://www.dyhfdz.com/About.asp?id=7
http://www.js-huarong.com/About.asp?id=1
http://jsshenya.com/About.asp?id=1
http://www.jsdanxiang.com/About.asp?id=2
http://www.js-enor.com/About.asp?id=1
http://dyxinchao.com/About.asp?id=1
http://www.jschangyue.com/About.asp?id=1
漏洞证明:
第二处:
漏洞参数:news_more.asp里的lm
http://www.jxhysy.com/news_more.asp?lm=&lm2=215
http://www.hgkc.com.cn/news_more.asp?lm=107
http://www.oumanxiu.com/admin/news_more.asp?lm2=138
http://www.rx-group.com/news_more.asp?lm=&lm2=234
http://www.gjnl.net/admin/news_more.asp?lm2=145
http://shhyssy.com/news_more.asp?lm=&lm2=214
http://www.jxstm.com/news_more.asp?lm=228
http://www.jxjsjk.com/news_more.asp?lm2=241
修复方案:
过滤。
版权声明:转载请注明来源 路人甲@乌云
漏洞回应
厂商回应:
未能联系到厂商或者厂商积极拒绝