当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0168941

漏洞标题：乐智网教育云SQL注入(登录后可跳转中国电信翼校通管理平台)&电信某分站sa 权限注入

相关厂商：中国电信

漏洞作者： un10ad

提交时间：2016-01-12 13:20

修复时间：2016-02-27 11:49

公开时间：2016-02-27 11:49

漏洞类型：SQL注射漏洞

危害等级：中

自评Rank：10

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-01-12： 细节已通知厂商并且等待厂商处理中
2016-01-15： 厂商已经确认，细节仅向厂商公开
2016-01-25： 细节向核心白帽子及相关领域专家公开
2016-02-04： 细节向普通白帽子公开
2016-02-14： 细节向实习白帽子公开
2016-02-27： 细节向公众公开

简要描述：

用户名爆破、密码爆破、SQL注入。
求个懂的科普一下乐智网和电信什么关系。。 要精分了

详细说明：

http://**.**.**.**/


用户名爆破 和 密码爆破

QQ20160110-0@2x.jpg


QQ20160110-1@2x.jpg


密码错误次数无限制，找到用户名之后可直接爆破密码。
登录之后，进入备课中心，个人备课，从资源库选用：

QQ20160110-3@2x.jpg


存在注入的位置：

GET /teaSpace/prepareLesson/getResource.action?gradeId=G04&bkId=402837185051***6b80a78&versionId=V16&courseListId=ff8*618***9**0004&courseId=K01&type=2&page.pageNum=2&pageSize=12 HTTP/1.1
Host: **.**.**.**
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:43.0) Gecko/20100101 Firefox/43.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
DNT: 1
Referer: http://**.**.**.**/teaSpace/prepareLesson/getResource.action?gradeId=G04&courseId=K01&versionId=V16&courseListId=ff8080***90004&bkId=402837185051***6b80a78&type=2
Cookie: name=value; goa_page_pagesize_gotoPage=12; JSESSIONID=DE53154488E8955DFE256C11EE17E6CE; JSESSIONID=B40E044ADF840D5E616D7A5FF83099CD; Hm_lvt_3b2b90b968014bee5b24ff51962ad7ac=1452408110; Hm_lpvt_3b2b90b968014bee5b24ff51962ad7ac=1452411646; Hm_lvt_83bc962335f6e0741154dacdbf8c0c62=1452408110; Hm_lpvt_83bc962335f6e0741154dacdbf8c0c62=1452411647; name=value; CNZZDATA1253279410=453949132-1452406555-http%253A%252F%252F**.**.**.**%252F%7C1452406555; goa_page_pagesize_gotoPage=12
Connection: keep-alive


gradeId存在注入：

QQ20160110-4@2x.jpg


比较有意思的是这里：翼校通

QQ20160110-5@2x.jpg


点击跳转，账号密码都有，但是不能直接登录，需要选择一个账号的归属地，之后就可以登录中国电信翼校通管理平台：

QQ20160110-6@2x.jpg


QQ20160110-8@2x.jpg


学生账号貌似是手机号码+S01，就直接马赛克了吧。
客服页面还有个注入点，是另外一个站的：

QQ20160110-2@SQL.jpg


http://**.**.**.**/

中国电信电脑保姆运营中心
发消息的时候抓包：

POST /WebService/Handlers/KnowledgeHandler.ashx HTTP/1.1
Host: **.**.**.**
Content-Length: 40
Accept: */*
Origin: http://**.**.**.**
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/47.0.2526.106 Safari/537.36
Content-Type: application/x-www-form-urlencoded
Referer: http://**.**.**.**/Module/Knowledge/UserSeh.htm?oem=DOKAY&psize=10
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.8
type=&oem=DOKAY&keyword=&pcur=1&psize=12


存在注入的参数 oem:

QQ20160110-2@2x.jpg


sa权限，而且还没降权..
如果这都不首页，那也不挖分站了

漏洞证明：

QQ20160110-4@2x.jpg


QQ20160110-8@2x.jpg


QQ20160110-2@2x.jpg


修复方案：

你们懂

版权声明：转载请注明来源 un10ad@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2016-01-15 17:11

厂商回复：

CNVD确认并复现所述情况,已经转由CNCERT向中国电信集团公司通报,由其后续协调网站管理部门处置.

最新状态：

暂无