当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-061227

漏洞标题：中国电信四川省某分站多处漏洞合集(sql=几十万数据啊+跨库、爆路径、前人木马)之第五蛋

相关厂商：中国电信

漏洞作者： Mosuan

提交时间：2014-05-18 10:03

修复时间：2014-05-23 10:03

公开时间：2014-05-23 10:03

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-05-18： 细节已通知厂商并且等待厂商处理中
2014-05-23： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

呵呵

详细说明：

WooYun: 中国电信某分站存在SQL注射漏洞 部分数据泄漏 与这个洞的注入点不同，可以看出他的截图中的表名，跟我跑出来的表名不一样，管理员请别重复ID导致忽略！3Q！
1.注入点(具体的数据没跑，只跑了一个表就有十多万数据了，目测数据不少于三十万！)

http://sc.118100.cn/earthsound//songer.php?id=11


sql.jpg


2.爆路径

http://sc.118100.cn/Business/
http://sc.118100.cn/middle.php
http://sc.118100.cn/Space.php


3.前人木马

http://sc.118100.cn/MySql.php（这位黑阔...你能低调点吗？）
http://sc.118100.cn/aimu.php （这个疑似一句话木马，爆破了好久爆破不出密码，字典不够强悍？）


漏洞证明：

详细说明

修复方案：

你们懂的！！建议全面清理下服务器！！

版权声明：转载请注明来源 Mosuan@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-05-23 10:03

厂商回复：

最新状态：

2014-05-23：CNVD确认并复现所述情况，已经在19日转由CNCERT直接通报给中国电信集团公司处置。