漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-089356
漏洞标题：上海某知名建站公司程序存在建站默认密码以及后台POST注入
相关厂商：上海永灿信息科技有限公司
漏洞作者： Ch丶0nly
提交时间：2015-01-07 10:24
修复时间：2015-04-07 10:26
公开时间：2015-04-07 10:26
漏洞类型：SQL注射漏洞
危害等级：中
自评Rank：10
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-01-07： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-04-07： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
上海某知名建站公司程序存在建站默认密码以及后台POST注入
详细说明：
上海某知名建站公司程序存在建站默认密码以及后台POST注入
漏洞证明：
漏洞细节：
上海某知名建站公司程序存在默认密码以及后台POST注入影响上万网站
客户案例：http://www.ucantech.com/case/latest-1.htm
默认账户admin 密码ucanadmin
大多数用户都没修改默认密码,个别版本存在后台POST注入 sa权限极多很容易getshell 其中存在少数知名网站
( 还有很多网站存在该漏洞 详细此处http://www.ucantech.com/case/latest-1.htm提取网站地址测试)
http://yoyo.4007001717.com.cn/web_admin/login.aspx
http://www.ljdjk.com/web_admin/default.aspx
http://www.shineroad.com/web_admin/login.aspx
http://www.4007001717.com.cn/web_admin/default.aspx
http://www.gongdoo.com/web_admin/default.aspx
http://www.autocity-rdpark.com/web_admin/default.aspx
(后台post注入简单举例(还有很多网站存在该漏洞 详细此处http://www.ucantech.com/case/latest-1.htm提取网站地址测试)
http://www.britax.cn/web_admin/login.aspx
http://www.leadbank.com.cn/web_admin/login.aspx
http://www.39yanglao.com/web_admin/login.aspx
http://www.sunnysky-capital.com/web_admin/login.aspx
http://www.anbolac.com/web_admin/login.aspx
http://embl.chinadauphine.cn/web_admin/default.aspx
http://www.qungong.com/web_admin/login.aspx
http://www.jxz.cn/web_admin/login.aspx
爆出密码：
修复方案：
修复
版权声明：转载请注明来源 Ch丶0nly@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝