漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-081703
漏洞标题：中国工业网SQL注入(5万用户明文密码数据泄露)
相关厂商：中国工业网
漏洞作者： aotedan
提交时间：2014-11-02 21:45
修复时间：2014-12-17 21:46
公开时间：2014-12-17 21:46
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：15
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-11-02： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-12-17： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
从天堂到地狱，哥只是路过人间。
详细说明：
注入点 ：
漏洞证明：
Database: yygtest
[127 tables]
+------------------------------+
| T_ANCS_SYSTEM_Entity |
| T_ANCS_SYSTEM_FUNCTIONTREE |
| T_ANCS_SYSTEM_GROUPINFO |
| T_ANCS_SYSTEM_INFO |
| T_ANCS_SYSTEM_InfoChild |
| T_ANCS_SYSTEM_PERMISSION |
| T_ANCS_SYSTEM_ROLEINFO |
| T_ANCS_SYSTEM_RoleData |
| T_ANCS_SYSTEM_RolePermission |
| T_ANCS_SYSTEM_RoleRules |
| T_ANCS_SYSTEM_Rules |
| T_ANCS_SYSTEM_USERGROUP |
| T_ANCS_SYSTEM_USERINFO |
| T_ANCS_SYSTEM_UserRelations |
| T_ANCS_SYSTEM_UserRole |
| T_Blog_Album |
| T_Blog_Article |
| T_Blog_Class |
| T_Blog_Friend |
| T_Blog_Info |
| T_Blog_Liuyan |
| T_Blog_Message |
| T_Blog_Photos |
| T_Blog_Review |
| T_Blog_SystemSet |
| T_EditArticle |
| T_Edituser |
| T_EdituserLanmu |
| T_FANKUIBEAN |
| T_ORDERBEAN |
| T_SHOPBEAN |
| T_SHOPBEAND |
| T_app_UserOnline |
| T_app_jifen |
| T_app_jifenmx |
| T_app_touxian |
| T_bbs_bbsarticle |
| T_bbs_bbsfriend |
| T_bbs_bbsmessage |
| T_bbs_bbsuserinfo |
| T_bbs_diaocha |
| T_bbs_forum |
| T_bbs_forumgroup |
| T_bbs_forumowner |
| T_bbs_guanggao |
| T_bbs_link |
| T_bbs_lockip |
| T_bbs_lockwords |
| T_bbs_message |
| T_bbs_touxian |
| T_ci_Business |
| T_ci_EnBusiness |
| T_ci_Leavemessage |
| T_ci_Menu |
| T_ci_MenuUser |
| T_ci_Message |
| T_ci_Question |
| T_ci_Shoucang |
| T_ci_TenderLeavemessage |
| T_ci_TenderSearchObject |
| T_ci_TenderUser |
| T_ci_Tongxun |
| T_ci_Tougao |
| T_ci_Wenjuan |
| T_ci_Zhanhui |
| T_ci_Zixun |
| T_ci_app_Article |
| T_ci_app_EditArticle |
| T_ci_app_InduDown |
| T_ci_app_Keyword |
| T_ci_app_Magazine |
| T_ci_app_Media |
| T_ci_app_Medium |
| T_ci_app_Message |
| T_ci_app_Mulu |
| T_ci_app_Pinglun |
| T_ci_app_Qishu |
| T_ci_app_RoleInfoChild |
| T_ci_app_ShiPing |
| T_ci_app_Tc |
| T_ci_app_Tcitem |
| T_ci_app_ad |
| T_ci_app_adsub |
| T_ci_app_anxe |
| T_ci_app_articletype |
| T_ci_app_enArticle |
| T_ci_app_enlamu |
| T_ci_app_enproduct |
| T_ci_app_entype |
| T_ci_app_jobFound |
| T_ci_app_lunwen |
| T_ci_app_popele |
| T_ci_app_product |
| T_ci_app_resume |
| T_ci_app_sou |
| T_ci_app_tecFound |
| T_ci_yuanquuser |
| T_cms_Agent |
| T_cms_Buy |
| T_cms_Cooperation |
| T_cms_Investment |
| T_cms_Leave |
| T_cms_Supply |
| T_cms_Tender |
| T_companyArticle |
| T_dydq_app_anxe |
| T_information |
| T_jizhe |
| T_job |
| T_jobArticle |
| T_project |
| T_quanzi_mulu |
| T_quanzi_zu |
| T_quanzi_zuarticle |
| T_quanzi_zuarticlePinglun |
| T_quanzi_zusoucang |
| T_quanzi_zutongzhi |
| T_quanzi_zuuser |
| T_tech |
| T_yuanqu |
| T_zazhi |
| T_zhuanjia |
| foofoofoo |
| grand |
| kttype |
| news |
| rttype |
+------------------------------+
影响5W多用户- 貌似后台用户也爆出了，但是没找到后台 :)
修复方案：
你们专业
版权声明：转载请注明来源 aotedan@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝