漏洞概要
关注数(24)
关注此漏洞
漏洞标题:某信访系统通用型SQL注射漏洞影响大量政府学校网站
提交时间:2014-06-18 15:28
修复时间:2014-09-16 15:28
公开时间:2014-09-16 15:28
漏洞类型:SQL注射漏洞
危害等级:高
自评Rank:10
漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理
Tags标签:
无
漏洞详情
披露状态:
2014-06-18: 细节已通知厂商并且等待厂商处理中
2014-06-23: 厂商已经确认,细节仅向厂商公开
2014-06-26: 细节向第三方安全合作伙伴开放
2014-08-17: 细节向核心白帽子及相关领域专家公开
2014-08-27: 细节向普通白帽子公开
2014-09-06: 细节向实习白帽子公开
2014-09-16: 细节向公众公开
简要描述:
SQL注射
详细说明:
WooYun: 某套信访系统通用SQL注入影响大量政府学校网站 同一套系统的其他注射点
1.大量政府及学校网站使用了这套系统:
google
2.漏洞描述:
注射点rulelist.asp?cid
access盲注
3.互联网案例:
这里借用@U神 的收集结果
漏洞证明:
sqlmap_test:
Tables:
columns:[admin]
默认后台:/admin/login.asp
通过注入得到密码进后台,对这些网站影响还是比较严重的。
仅测试漏洞,不再进一步证明。
修复方案:
漏洞回应
厂商回应:
危害等级:高
漏洞Rank:20
确认时间:2014-06-23 08:30
厂商回复:
cnvd确认并复现所述案例情况,根据测试结果,已经转 由cncert下发辽宁、吉林、云南、新疆、四川、山西、山东、江苏、河北、广东、甘肃等 分中心处置。
最新状态:
暂无