漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-014122
漏洞标题：中国财经金融门户SQL注入爆各种用户、密码
相关厂商：财界网
漏洞作者： 浩天
提交时间：2012-10-31 19:02
修复时间：2012-12-15 19:03
公开时间：2012-12-15 19:03
漏洞类型：SQL注射漏洞
危害等级：中
自评Rank：10
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-10-31： 细节已通知厂商并且等待厂商处理中
2012-11-04： 厂商已经确认，细节仅向厂商公开
2012-11-14： 细节向核心白帽子及相关领域专家公开
2012-11-24： 细节向普通白帽子公开
2012-12-04： 细节向实习白帽子公开
2012-12-15： 细节向公众公开
简要描述：
财界网：中国财经金融门户
网 址：http://www.17ok.com/
1.SQL注入点若干(比较难找)，一共18个库，全都可以读取数据
2.各种用户信息泄露，博客、论坛等等，太多了，还有管理员
3.涉及财经、金融、股票等，貌似政府旗下的网站，没敢放肆，点到为止
4.警察叔叔，不要抓我啊,我是良民
详细说明：
发现两处注入点：
http://money.17ok.com/list.php?id=499
http://tech.17ok.com/list.php?id=680
应该还有，建议整站的list.php?id=页面都勘察一下，一个注入点，全站数据泄露
漏洞证明：
1.服务器配置：
2.18个数据库，均可跨库查询，权限有点大：
3.mysql用户列表：
4.部分用户数据：
5.问问这是什么加密方式：
6.这个站跟钱和gov有关，点到为止，赶紧修吧
修复方案：
这么大的站，应该有维护人员，应该懂
版权声明：转载请注明来源 浩天@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2012-11-04 16:22
厂商回复：
CNVD确认并复现所述情况，同时确认网站管理方非政府机构或相关直属单位，由CNVD尝试直接联系网站管理方处置事件。
按完全影响机密性进行评分，基本危害评分7.79，发现技术难度系数1.0，涉及行业或单位危害系数1.3,综合rank=10.127
最新状态：
暂无