当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-067490

漏洞标题:99个政府网站sql注入点漏洞打包

相关厂商:cncert国家互联网应急中心

漏洞作者: 老和尚

提交时间:2014-07-07 15:26

修复时间:2014-08-21 16:10

公开时间:2014-08-21 16:10

漏洞类型:SQL注射漏洞

危害等级:中

自评Rank:9

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-07-07: 细节已通知厂商并且等待厂商处理中
2014-07-12: 厂商已经确认,细节仅向厂商公开
2014-07-22: 细节向核心白帽子及相关领域专家公开
2014-08-01: 细节向普通白帽子公开
2014-08-11: 细节向实习白帽子公开
2014-08-21: 细节向公众公开

简要描述:

99个政府网站的注入点, 希望cncert国家互联网应急中心慢慢处理...

详细说明:

恩 我去重了,每个网站一个注入点... ... 虽然质量..但是数量...
http://96361.xyhdz.gov.cn/jigou.php?id=42
http://ahfp.ah.gov.cn/information.jsp?xmid=2034
http://blwl.bl.gov.cn/bljh_1.aspx?id=102
http://bz.ahnw.gov.cn/aspx/gqxx.aspx?gqtype=0
http://ctq.hd.gov.cn/source/list/qzzy_list.asp?id=4
http://ftpf.ft.gov.cn/News.asp?classid=78
http://fzb.ahsz.gov.cn/openxw.asp?id=41041
http://fzb.chancheng.gov.cn/news/view.asp?id=3630
http://fzg.tonghua.gov.cn/pinglun3_alldis.php?yitiid=21
http://gbjy.ggedu.gov.cn/list.aspx?cid=1
http://gk.jxwy.gov.cn/ecms/IndexServlet?siteID=2&nodeID=55010
http://gxs.qz.gov.cn/newslist.asp?id=14
http://gyrsj.gov.cn/tmp/wzpm.shtml?show=list&UI_ID=2
http://hbjgczl.tongchuan.gov.cn/list.aspx?id=1
http://hlxxgk.lbx.gov.cn/GPI/index.aspx?dept=92338301
http://hrss.jldl.gov.cn/?mod=index&act=article&doing=list&cid=2
http://jjw.huzhou.gov.cn/zt_xjhd/zt.asp?bigfeatureid=20
http://jsj.nanan.gov.cn/?ctl=index&act=list&category_code=67108864
http://jsj.pinghu.gov.cn/SpecialPage/index.aspx?url_pid=174&cateid=360
http://ldj.cqyc.gov.cn/Page/zw_jzxx_Content.aspx?id=2779
http://m.wtlz.gov.cn/list.asp?type=2&c=20107895055150
http://m.ypbxygw.gov.cn/list.asp?type=2&c=20107895055150
http://md.dali.gov.cn/article_show_mdgk.asp?articleid=24215
http://mzj.xinxiang.gov.cn/zxnr.asp?classid=1&id=5940
http://nsrxx.hazz-l-tax.gov.cn/nsrxx/list/spbf.do?b_spbf=true&spid=27
http://people.nbfet.gov.cn/hyzsxi.php?id=519
http://rc.szxcdj.gov.cn/infodisp.asp?id=615
http://sclz.lss.gov.cn/template/default/newslist.jsp?classId=8a22804434c19b5f0134d0bdb4b0002a
http://st.ahnw.gov.cn/aspx/gqxx.aspx?gqtype=0
http://szlb.ahnw.gov.cn/aspx/gqxx.aspx?gqtype=0
http://szxx.ahnw.gov.cn/aspx/gqxx.aspx?gqtype=0
http://tea.hsq.gov.cn/list_tp.asp?sort_id=578
http://tw.daqing.gov.cn/nzcms_list_news.asp?id=743&sort_id=657
http://tyj.zgwj.gov.cn/UpFile/template/firstpage/wjtyw_current/TywWebMessage.aspx?xftype=3
http://wh.ahnw.gov.cn/aspx/gqxx.aspx?gqtype=0
http://www.167.gov.cn/167jtcontent.aspx?ArticleID=781
http://www.ahczzx.gov.cn/ShowNews.asp?id=5563
http://www.ahjjjc.gov.cn/article.php?MsgId=91430
http://www.ahshiliang.gov.cn/info.php?left=1&cat_pid=67
http://www.ahszkj.gov.cn/content/info.php?Pid=1&ty=2
http://www.ahzbtb.gov.cn/include/web_content.php?id=446
http://www.alsyqdj.gov.cn/jcdj_show.asp?newsid=64
http://www.aqzyjjjc.gov.cn/article.php?MsgId=91428
http://www.asga.gov.cn/newsDetail.aspx?id=17125
http://www.bhzb.gov.cn/q_flfw.asp?lm_id=1023
http://www.bjdag.gov.cn/newlist.php?id=24
http://www.bjhrjjjc.gov.cn/group2.php?GroupID=1723
http://www.bjszfj.gov.cn/newlist.php?id=5
http://www.bzsly.gov.cn/brow.asp?classid=4
http://www.chssf.gov.cn/about.php?id=1
http://www.chty.gov.cn/Mlty.php?classid=7
http://www.cxqi.gov.cn/E_ReadOpinion.asp?OpinionID=763
http://www.cygsj.gov.cn/sub2_BGXZ.aspx?id=4
http://www.djkfda.gov.cn/jgjj.asp?id=398
http://www.dstz.gov.cn/dstz/bbjsxs1.asp?id=24
http://www.edu-gzstats.gov.cn/show/showarticle.asp?ID=770
http://www.fengquan.gov.cn/lyny.php?id=21
http://www.fhagri.gov.cn/lzwh/imagesview.asp?P_ID=611
http://www.fjzzrd.gov.cn/web/cwhgk.asp?LMid=25
http://www.fssrd.gov.cn/xwy.asp?wb=1&bh=937
http://www.gdmz.gov.cn/bbs/rss.php?auth=0
http://www.grcz.gov.cn/zixun_detail.jsp?id=424
http://www.grjcy.gov.cn/more.aspx?sid=0107
http://www.gybxy.gov.cn/gyfwcla.asp?id=10
http://www.gzgb.gov.cn/Article/?Type=18
http://www.heishan.gov.cn/hsxwsp/index.asp?id=1717
http://www.hnzx.gov.cn/detailP.aspx?id=2254
http://www.hygz.gov.cn/news/bgshow.asp?id=83
http://www.jintai.gov.cn/about_view.aspx?id=1651
http://www.jjfc.gov.cn/class_2.asp?classid=40&newsid=498
http://www.jjjt.gov.cn/page/col1_lb.php?lbid=657
http://www.jjsf.gov.cn/Browse/InfoD.aspx?Board=1801
http://www.jrfgw.gov.cn/onews.asp?id=2468
http://www.jsycjw.gov.cn/oldjjw/3.asp?id=69
http://www.jzkfqsafety.gov.cn/kf/msg.asp?id=33
http://www.kscein.gov.cn/Information/Information_View.aspx?Contentid=8498
http://www.lasw.gov.cn/list/index.php?zlm=1
http://www.lcczj.gov.cn/Article_Class.asp?ClassID=44
http://www.lishan.gov.cn/aspx/online.aspx?onlineID=4
http://www.llny.gov.cn/index_list.aspx?id=60
http://www.lqmz.gov.cn/type.asp?ID=1
http://www.lwgajj.gov.cn/news_view.asp?newsid=216
http://www.lyjd.gov.cn/view.asp?id=1535&cid=244
http://www.mldw.gov.cn/chief/index.php?ty=182
http://www.ncfdj.gov.cn/CongYeZhuTiXianShi.aspx?ID=20
http://www.nmciq.gov.cn/hdpd/myzj/myzjadd.jsp?id=672
http://www.nmgmr.gov.cn/search.jsp?title_content=all&keyword=
http://www.nmgsports.gov.cn/search.jsp?title_content=all&keyword=
http://www.nmqs.gov.cn/search.jsp?keyword=
http://www.phbi.gov.cn/readnews.asp?id=4213
http://www.pjw.gov.cn/pwsjxx/xj_xx.asp?id=900
http://www.pjzxw.gov.cn/Zxdt.Asp?cid=2
http://www.qxn.gov.cn/Search.html?Q=%E9%99%88%E9%B8%A3%E6%98%8E
http://www.qy.gov.cn/Vote.aspx?Id=8
http://www.qzrf.gov.cn/cjwtlist.aspx?t=1
http://www.sasacgs.gov.cn/leader.jsp?classid=23
http://www.scncjt.gov.cn/mail.aspx?type=2
http://www.shaoshanxiang.gov.cn/class.asp?id=296&classId=295
http://www.shcredit.gov.cn/e_lmwz_list.jsp?colid1=2&colid2=37
http://www.shuikou.gov.cn/news.php?id=950
http://www.slpop.gov.cn/content.do?method=sendTo&cid=106
http://www.snciq.gov.cn/ysqgkzzjg.jsp?urltype=tree.TreeTempUrl&wbtreeid=18341
http://www.sxsd.gov.cn/about_list.aspx?id=5&oid=1
http://www.sxth.gov.cn/sxyx/changhang.aspx?id=19339
http://www.syhbj.gov.cn/newsshow.asp?id=(799)
http://www.szzjrmfy.gov.cn/news.php?typeid=159
http://www.tljw.gov.cn/article.php?MsgId=91231
http://www.tlnbcq.gov.cn/agency.asp?ids=8
http://www.tzhymz.gov.cn/getlist.asp?pmid=101&fmid=102
http://www.tzsb.gov.cn/detail.asp?type=policy&id=179
http://www.tzxjnw.gov.cn/mytc/showmytc.asp?id=112
http://www.wfga.gov.cn/sundun/zx_show.aspx?id=110617
http://www.wfjj.gov.cn/zwgk/info.aspx?id=1594
http://www.wfwj.gov.cn/jcdtView.jsp?id=580
http://www.wlhfz.gov.cn/wz.asp?id=134
http://www.wzta.gov.cn/yxwz/yxwz_list.php?type=1
http://www.xjjw.gov.cn/News.asp?Bigid=30
http://www.xmipo.gov.cn/bsznShow.aspx?NewsId=77
http://www.xnyf.gov.cn/news_more.asp?lm=73
http://www.xysgs.gov.cn/ArticleContent.asp?ID=212
http://www.yclynk.gov.cn/newsview.asp?id=158
http://www.yldjw.gov.cn/index.jsp?urltype=tree.TreeTempUrl&wbtreeid=10504
http://www.ytfda.gov.cn/YTIICSMDH/show.jsp?id=230524
http://www.yyagri.gov.cn/TopicManage/Qzlx/List.aspx?Type_ID=46
http://www.zcjf.gov.cn/Articleshow.asp?id=772
http://www.zichang.gov.cn/cj.aspx?id=8
http://www.zqfpb.gov.cn/onews.asp?id=1231
http://www.zswj.gov.cn/hudong_show.asp?id=5278
http://www1.jianxian.gov.cn/alistclass.asp?id=1
http://xfb.bjfsh.gov.cn/index/detail.aspx?id=68
http://ygwz.lianjie.gov.cn/list.aspx?id=79
http://zk.czedu.gov.cn/datalist.asp?Mitem=1
http://zwdt.fuyang.gov.cn/PowerInfor.aspx?Id=1
http://zx.pinghu.gov.cn/ucms/cms/webapp/column.jsp?ColumnID=1342
http://zxxx.hnhxdj.gov.cn/content/?id=189
这都是注入点, 配置上我自己找的后台路径, 表 字段 都能找到 . Q 12151915 我告诉你表和字段...

漏洞证明:

QQ截图20140702055118.png


QQ截图20140702055858.png


QQ截图20140702060416.png


QQ截图20140702062739.png


QQ截图20140702063917.png


QQ截图20140702065920.png


WooYun: 29政府网站sql注入漏洞打包 也就是那些图片..

修复方案:

你懂...

版权声明:转载请注明来源 老和尚@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2014-07-12 12:47

厂商回复:

CNVD确认并已经复现其中多个实例(已经批量转发给各分中心,由各分中心进一步实时验证),已经转由CNCERT下发给对应的多个分中心处置。rank 20+,不够的找管理。

最新状态:

暂无