漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-073768
漏洞标题：从一个联通沃app信息泄露到数十万身份证及银行卡信息泄露
相关厂商：中国联通
漏洞作者： 第十人
提交时间：2014-08-25 12:51
修复时间：2014-10-09 12:52
公开时间：2014-10-09 12:52
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-08-25： 细节已通知厂商并且等待厂商处理中
2014-08-30： 厂商已经确认，细节仅向厂商公开
2014-09-09： 细节向核心白帽子及相关领域专家公开
2014-09-19： 细节向普通白帽子公开
2014-09-29： 细节向实习白帽子公开
2014-10-09： 细节向公众公开
简要描述：
安全不容忽视
详细说明：
APP发现一URL，找到注入
漏洞证明：
一、漏洞概述：
由于“联通沃服务”应用后台系统页面没有对输入数据进行严格过滤，导致SQL注入漏洞存在，导致大量用户隐私信息泄漏。
利用该漏洞可获取489055条用户身份信息数据，其中涉及用户个人信息如：用户姓名、通讯地址、手机号码、身份证号码、营业执照、护照、IMSI号、SIM/UIM卡号、银行代码、银行帐号等。还可获取1668条管理员帐号信息，其中包括管理员姓名、密码密文、手机号码等信息。
二、测试验证：
“联通沃服务”应用可进行话费查询、流量查询、积分查询、VIP会员卡号查询等操作。可通过下图中链接下载。
通过对android版本应用反编译逆向分析，发现应用中存在相关功能页面的URL地址，如
http://211.95.193.97/unicom/com.php?act=cmd.json
http://211.95.193.97/unicom/com.php?act=hold.getHoldInfo
等等URL地址。
通过测试发现这些页面并没有对输入数据进行严格过滤，导致SQL注入漏洞存在，使用渗透测试工具SQLMAP即可对其进行验证。
如上图所示，探测出系统使用数据库为MySQL，数据库存在2和用户，用户名及密码密文分别是：
unicom:*FC0BB8E604B3***B26E0873EF189B9C
root:*FC0BB8E604B390***26E0873EF189B9C
利用暴力破解等方式可破解出帐号密码分别是：
unicom:unil1*****
root:unil1*****
通过WEB应用扫描发现，系统使用phpmyadmin进行数据库管理，管理接口地址为：http://211.95.193.97/phpmyadmin/index.php。使用破解出的帐号密码可登录并进行数据管理。
在“unicom”数据库中发现“u_user”表，其中存放489055条用户身份信息数据，其中涉及用户个人信息如：用户姓名、通讯地址、手机号码、身份证号码、营业执照、护照、IMSI号、SIM/UIM卡号、银行代码、银行帐号等等。
在“unicom”数据库中发现“u_admin”表，其中存放1668条管理员帐号信息，其中包括管理员姓名、密码密文、手机号码等信息。
修复方案：
版权声明：转载请注明来源 第十人@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2014-08-30 10:24
厂商回复：
最新状态：
暂无