漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-051440
漏洞标题：某市银行SQL注入漏洞已拿shell
相关厂商：jzcbank.com
漏洞作者： 疯狂的dabing
提交时间：2014-02-19 22:38
修复时间：2014-04-05 22:38
公开时间：2014-04-05 22:38
漏洞类型：SQL注射漏洞
危害等级：中
自评Rank：5
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-02-19： 细节已通知厂商并且等待厂商处理中
2014-02-24： 厂商已经确认，细节仅向厂商公开
2014-03-06： 细节向核心白帽子及相关领域专家公开
2014-03-16： 细节向普通白帽子公开
2014-03-26： 细节向实习白帽子公开
2014-04-05： 细节向公众公开
简要描述：
年前某设备一直报警说某银行官网被挂了暗链，过去围观果然是各种传奇和六合彩。于是顺手做了下测试，发现存在SQL注入，并从后台已经拿到shell。
前几天另一个设备又有提示，看了下发现之前的shell被清了但是问题依旧。
详细说明：
年前某设备一直报警说某银行官网被挂了暗链，过去围观果然是各种传奇和六合彩。于是顺手做了下测试，发现存在SQL注入，并从后台已经拿到shell。
一看是asp的站点，手测了下有防注入，然后我想既然被人拿下了可能是有问题，于是COOKIE注入，果然是N年前那套GET/POST注入过滤，COOKIE注入完全没防御。
拿到账号后随手猜了下后台，居然几下就猜到了。
登录后发现果然是若干年前的整站程序了，后台有一万种拿shell的方法，顺利拿下shell，并围观了挂暗链的代码。
后来过年把这事忘了，前几天另一个设备又有提示，我去看了下原来的shell被清了，但是问题依旧，连管理员密码都没改。
漏洞证明：
修复方案：
建议推倒重来，直接换套CMS。
版权声明：转载请注明来源 疯狂的dabing@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：12
确认时间：2014-02-24 09:28
厂商回复：
已经转由CNCERT下发给河南分中心处置。
最新状态：
暂无