漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-077603
漏洞标题：安徽师范大学主站数据库信息泄露
相关厂商：安徽师范大学
漏洞作者： 帅克笛枫
提交时间：2014-09-28 14:56
修复时间：2014-10-03 14:58
公开时间：2014-10-03 14:58
漏洞类型：重要敏感信息泄露
危害等级：高
自评Rank：12
漏洞状态：已交由第三方合作机构(CCERT教育网应急响应组)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-09-28： 细节已通知厂商并且等待厂商处理中
2014-10-03： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
只是因为在谷歌搜索中多看了你一眼，再也没法忘记你的数据库，想你的root，只能在脑海里......
详细说明：
安徽师范大学主站数据库信息泄露，谷歌搜索到相关信息，点击
http://www.ahnu.edu.cn/site/gra/Administrator/Admin_Login.asp链接进去，直接显示源代码，如图
，看到了数据库连接文件路径，<!--#include file="../conn.asp"-->，直接访问看看，直接显示源代码，如图所示：
漏洞证明：
我们在conn.asp页面中直接查看到相关数据库类型，名称，用户名密码等相关信息，ACCESS数据库，db = "\database\Yjs2006.mdb"
SqlUsername = "Yjs" 'SQL数据库用户名
SqlPassword = "Yjs*9988" 'SQL数据库用户密码
SqlDatabaseName = "Yjs2006" 'SQL数据库名
SqlHostIP = "127.0.0.1" 'SQL主机IP地址
-------------------------------------------------------------
我们可以看到网站源代码系统的安全意识已经是在配置方面做出了一点响应，限制了mysql的站位连接，并将数据库放至站点根目录的绝对路径。站点本身还是设置了，白名单的端点可以访问和黑名单的端点将不允许访问。如图所示：
，但是基于网站是提供给国内大部分游客访问，所以作用还不是很明显。
修复方案：
目录权限设置，及修改相关文件信息。你们懂得~~
版权声明：转载请注明来源 帅克笛枫@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-10-03 14:58
厂商回复：
最新状态：
暂无