漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0145446
漏洞标题：某省地产商网站注入漏洞（已进后台）
相关厂商：CCERT教育网应急响应组
漏洞作者： hblf
提交时间：2015-10-09 10:54
修复时间：2015-11-27 17:30
公开时间：2015-11-27 17:30
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：15
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-10-09： 细节已通知厂商并且等待厂商处理中
2015-10-13： 厂商已经确认，细节仅向厂商公开
2015-10-23： 细节向核心白帽子及相关领域专家公开
2015-11-02： 细节向普通白帽子公开
2015-11-12： 细节向实习白帽子公开
2015-11-27： 细节向公众公开
简要描述：
河南某地产商网站存在注入漏洞，可读取管理员密码，可登录后台
详细说明：
河南建业地产，应该是河南省最大的地产公司了。
官网地址http://**.**.**.**/
代码有漏洞，没有过滤用户输入。
注入：http://**.**.**.**/chi/project/project_mb.php?id=-1
这个参数可以注入，获取到管理员jysuper密码jyadmin 可登录后台。
后台功能很多，传马什么的就不具体试了。
漏洞证明：
注入：http://**.**.**.**/chi/project/project_mb.php?id=-1
获取字段内容：
登录后台：
修复方案：
1.想彻底解决问题的话，修代码吧。变量绑定、预编译。数据库里就不要明文存放密码了吧。
2.想简单粗暴，投资个项目的话，买台waf吧。
3.后台入口就不要公布了吧，限制指定ip可访问。
4.万企做运维你们真的放心？日常巡检和审计真的有吗？
5.建业这么有钱，IT部门是不是该考虑设个安全岗了。
最后，多给建业队投点钱，再次打进亚冠吧！
版权声明：转载请注明来源 hblf@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：9
确认时间：2015-10-13 17:29
厂商回复：
CNVD确认所述情况,已经转由CNCERT下发给河南分中心,由其后续协调网站管理单位处置.
最新状态：
暂无