漏洞概要
关注数(24)
关注此漏洞
漏洞标题:中国邮政储蓄银行某站点SQl注入导致getshell(数十个单位上千员工信息泄露&已登录远程桌面)
漏洞作者: 默之
提交时间:2015-09-07 23:27
修复时间:2015-09-12 23:28
公开时间:2015-09-12 23:28
漏洞类型:SQL注射漏洞
危害等级:高
自评Rank:20
漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞
Tags标签:
无
漏洞详情
披露状态:
2015-09-07: 细节已通知厂商并且等待厂商处理中
2015-09-12: 厂商已经主动忽略漏洞,细节向公众公开
简要描述:
SQL注入~是由一个软件造成的
详细说明:
先介绍一下这款考勤软件,永益web考勤管理系统,目前市场份额挺小的,不过还是有个别用户使用,这个系统存在通用的登陆框处注入漏洞(因为没有找到更多的例子,所以就不能提交了)
网址:http://59.46.94.68/ 中国邮政储蓄银行股份有限公司沈阳分公司
#1 SQL注入
(1)在txtusername处存在注入
账号admin'or'1'='1 密码:任意6位拼写
找到人员管理,包含数十个单位的上千名员工信息,还有员工的工号。PS:领导就是好,还是免签组的人,你们分行谁想免签,我可以帮一下~
(2)配合sqlmap的--os-shell,顺利拿下远程访问
登陆的时候抓包如下
丢到sqlmap跑出来的数据
下面使用sqlmap的--os-shell添加用户,刚开始使用net user命令,竟然没有返回数据,那就试试
依然返回数据为空,不过没关系,命令已经执行了登陆之
这个服务器主要就是一个打卡考勤的服务器,没有别的网站在上面,翻看了一下,找到了一个给内部ic卡充值的软件,密码也有,这要是让内部员工得到之后,天天就不愁吃了
漏洞证明:
#2 Getshell
登录系统之后找到请假管理,里面有一个上传的页面,直接抓包,修改后缀,发包,就可以得到shell
一些敏感信息泄露
在一个配置文件里找到了这个,hash值,但是我没有破解成功
当然也连上了数据库
#3 目录遍历
还有
修复方案:
版权声明:转载请注明来源 默之@乌云
漏洞回应
厂商回应:
危害等级:无影响厂商忽略
忽略时间:2015-09-12 23:28
厂商回复:
漏洞Rank:15 (WooYun评价)
最新状态:
暂无