漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-088177
漏洞标题：APP365在线物流管理系统SQL注入漏洞
相关厂商：APP365
漏洞作者： 路人甲
提交时间：2014-12-24 16:33
修复时间：2015-03-24 16:34
公开时间：2015-03-24 16:34
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-12-24： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-03-24： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
说实话我是捡来的啊
观http://www.wooyun.org/bugs/wooyun-2010-074765有感而发
详细说明：
之前说要5个案例，只能重新提交了。
为什么我的通用没有钱呢？
好了正题：
深圳市应用三六五网络科技有限公司(APP365)是一家具有雄厚技术实力和创新能力的新型高科技企业。
APP365由资深IT行业人士、投资精英、物流行业管理专家共同创立，致力于云计算产品、在线物流管理平台、物流交易平台的研发。
APP365旗下产品包括：APP365货运专线系统、APP365快运快递系统、APP365快递管理系统、APP365第三方物流系统、APP365仓储管理系统、APP365 GPS调度系统、APP365海运管理系统、APP365 物流交易平台。
官方地址：
http://www.app365.com/common/customer.jhtml
案例搜索方法:inurl:trackOrder.jspx
案例:
http://www.jpt56.com/site56/Station/stationList.jspx btn=88952634&city_name=%E8%AF%B7%E9%80%89%E6%8B%A9%2F%E8%BE%93%E5%85%A5%E5%9F%8E%E5%B8%82%E5%90%8D%E7%A7%B0
http://www.shdushi56.com/site56/Station/stationList.jspx province_id=88952634&city_id=88952634&district_id=88952634&city_name=88952634
http://www.wistron.cc/site56/Station/stationList.jspx province_id=88952634&city_id=88952634&district_id=88952634&city_name=88952634
http://www.hal.net.cn/site56/Station/stationList.jspx
rovince_id=88952634&city_id=88952634&district_id=88952634&city_name=88952634
http://www.hacc56.com/site56/Station/stationList.jspx province_id=88952634&city_id=88952634&district_id=88952634&city_name=88952634
http://www.56yt.com/site56/Station/stationList.jspx btn=88952634&city_name=%E8%AF%B7%E9%80%89%E6%8B%A9%2F%E8%BE%93%E5%85%A5%E5%9F%8E%E5%B8%82%E5%90%8D%E7%A7%B0
http://www.jab56.com/site56/Station/stationList.jspx province_id=88952634&city_id=88952634&district_id=88952634&city_name=88952634
http://www.lingdao56.com/site56/Station/stationList.jspx province_id=88952634&city_id=88952634&district_id=88952634&city_name=88952634
http://andaoda.doorlink.cn/site56/Station/stationList.jspx province_id=88952634&city_id=88952634&district_id=88952634&city_name=88952634
http://hxwl.56tai.com/site56/Station/stationList.jspx province_id=88952634&city_id=88952634&district_id=88952634&city_name=88952634
漏洞证明：
只演示1个站,建议在win7系统下复现
http://www.jpt56.com/site56/Station/stationList.jspx btn=88952634&city_name=%E8%AF%B7%E9%80%89%E6%8B%A9%2F%E8%BE%93%E5%85%A5%E5%9F%8E%E5%B8%82%E5%90%8D%E7%A7%B0
修复方案：
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝