漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-021485
漏洞标题：某高校漏洞导致可以获取银行卡等重要信息
相关厂商：某著名211 985高校
漏洞作者： 淡漠天空
提交时间：2013-04-10 09:59
修复时间：2013-05-25 10:00
公开时间：2013-05-25 10:00
漏洞类型：重要敏感信息泄露
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-04-10： 细节已通知厂商并且等待厂商处理中
2013-04-12： 厂商已经确认，细节仅向厂商公开
2013-04-22： 细节向核心白帽子及相关领域专家公开
2013-05-02： 细节向普通白帽子公开
2013-05-12： 细节向实习白帽子公开
2013-05-25： 细节向公众公开
简要描述：
2年后厂商记得给我发本科毕业证盖章哦———亲 求CNVD证书！
为自由而战，为8k后台而奋斗！
拒绝查水表。。。
详细说明：
某天在南开大学伯令楼遭到天大内网DNS攻击
作为回报——检测天津大学网站服务器，发现财务处存在SQL注入（219.243.39.24）
测试：注入存在真实，注入点SA权限 多语句可跨库 可服务器CMD上传木马提权 可内网渗透 网站服务器可挂马欺骗银行卡密码 学生 教工 部门机构等所有基本信息（姓名、学号、银行卡及来往记录、缴费记录、工资发放等等）学生建行卡信息数据量目测4w，教工数据未看，其他记录近1000w。
服务器已成功入侵并所有数据已下载建立数据库。漏洞具有非法利用价值。
注入点：http://219.243.39.24/wctju3/list.aspx?lb=fw
漏洞证明：
修复方案：
不懂额 过滤不严吧
版权声明：转载请注明来源 淡漠天空@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：12
确认时间：2013-04-12 16:37
厂商回复：
CNVD确认并复现所述情况（对后续渗透过程未直接复现），已在12日转发上海交通大学以及CCERT，由教育网应急组织协调处置。
按信息泄露风险进行评分,rank 12
最新状态：
暂无