漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-063912
漏洞标题：四川省食品药品监督管理局sql注入
相关厂商：四川省食品药品监督管理局
漏洞作者： PythonPig
提交时间：2014-06-10 19:12
修复时间：2014-07-25 19:14
公开时间：2014-07-25 19:14
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：18
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-06-10： 细节已通知厂商并且等待厂商处理中
2014-06-14： 厂商已经确认，细节仅向厂商公开
2014-06-24： 细节向核心白帽子及相关领域专家公开
2014-07-04： 细节向普通白帽子公开
2014-07-14： 细节向实习白帽子公开
2014-07-25： 细节向公众公开
简要描述：
某省某政府网站漏洞大礼包（影响全省各市、各区县）
详细说明：
问题出在四川省食品药品监督管理局 只做检测，点到为至，谢绝水表
主要问题有：注入、多个管理后台对外（食品药品稽查信息系统、OA系统、食品生产安全监管系统）、弱口令、任意文件上传
0x01：注入点：www.scfda.gov.cn/message/messageManager/messageslist.jsp?fieldName=&curPage=&query=12&goInt=1 query存在注入
下面是库，库虽不多，但可跨库，全省各市、区县的OA系统的用户信息都在这里面
下面是部分各个后台管理员的用户名、密码，在http://www.cmd5.com/ 测试，几乎全部可破解
登陆 食品药品稽查信息系统 作为验证 http://jc.scfda.gov.cn/index.do 用户名huangqian 密码hugqan
0x02：任意文件上传,食品药品稽查信息系统后台上传：
没有真正上传shell，只作了下测试，没深入
0x03：弱口令，涉及全省各市、区县，以 绵阳市OA系统管理员登陆 作为验证，http://oa.scfda.gov.cn/logoff.do?formAction=logoff 用户名myadmin 密码123456
其实登陆管理员账号以后，可以查看每个人的用户名，然后猜测其密码，有非常多的弱口令，而且没有限制登陆。当然也可以直接重置其密码为初始密码，影响全省各市、区县。
漏洞证明：
详见 详细说明
多个后台的管理员用户信息，密码为md5加密，在http://www.cmd5.com/实测可破解
修复方案：
过滤
上传验证
加强密码强度
整站安全检查
版权声明：转载请注明来源 PythonPig@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：12
确认时间：2014-06-14 23:15
厂商回复：
CNVD确认并复现所述情况，已经转由CNCERT下发给四川分中心处置，由其后续联系网站管理单位.涉及信息泄露风险，rank 12
最新状态：
暂无