当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-099424

漏洞标题：某通用健康体检档案管理系统再次越权/泄露敏感信息/getshell（可影响大量社会公民信息）

相关厂商：中卫信软件

漏洞作者： BMa

提交时间：2015-03-06 17:19

修复时间：2015-06-09 10:54

公开时间：2015-06-09 10:54

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：16

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-03-06： 细节已通知厂商并且等待厂商处理中
2015-03-11： 厂商已经确认，细节仅向厂商公开
2015-03-14： 细节向第三方安全合作伙伴开放
2015-05-05： 细节向核心白帽子及相关领域专家公开
2015-05-15： 细节向普通白帽子公开
2015-05-25： 细节向实习白帽子公开
2015-06-09： 细节向公众公开

简要描述：

某通用健康体检档案管理系统再次越权/泄露敏感信息/getshell（可影响大量社会公民信息）
挖一个，发一个 - -！影响数据量粗略估计145W +

详细说明：

公司：中卫信软件
地址：http://www.chiscdc.com/
简介：中卫信软件成立以来以“传递科技，控制疾病”为使命，致力于中国公共卫生事业信息化建设，在社会各界的大力支持下，通过全体员工的不懈的努力，在公共卫生行业信息建设方面取得了良好的业绩。公司开发的相关软件产品覆盖江苏省公共卫生领域近70%的市场份额，用户数达1500多家，成为江苏省公共卫生领域信息化建设的领先企业。
案例：

上海市化工职业病防治院体检查询系统	http://www.shhgzf.com:8280/dwcx/detail.asp?idx=10080&dt=&bhkrsl=&mhkadv=
泰州市健康体检查询系统	http://221.230.140.60:8080/dwcx/detail.asp?idx=10080&dt=&bhkrsl=&mhkadv=
宿迁市健康体检档案管理系统	http://218.93.201.187:8888/dwcx/detail.asp?idx=10080&dt=&bhkrsl=&mhkadv=
镇江市健康体检档案管理系统	http://221.230.8.231:8081//dwcx/detail.asp?idx=10080&dt=&bhkrsl=&mhkadv=
南通市健康体检档案管理系统	http://222.184.250.2:8001//dwcx/detail.asp?idx=10080&dt=&bhkrsl=&mhkadv=
吴江市健康体检档案管理系统	http://58.211.131.154:84//dwcx/detail.asp?idx=10080&dt=&bhkrsl=&mhkadv=
宜兴市体检档案管理系统	http://58.221.214.82:82//dwcx/detail.asp?idx=10080&dt=&bhkrsl=&mhkadv=
无锡市健康体检档案管理系统	http://58.214.247.138:8088/dwcx/detail.asp?idx=10080&dt=&bhkrsl=&mhkadv=
宜兴职业健康档案管理系统	http://yianjkong.vicp.cc:8081/dwcx/detail.asp?idx=10080&dt=&bhkrsl=&mhkadv=
苏州市健康体检档案管理系统	http://www.szcdc.cn/wstjnew/dwcx/detail.asp?idx=10080&dt=&bhkrsl=&mhkadv=


以http://www.shhgzf.com:8280/dwcx/detail.asp?idx=10080&dt=&bhkrsl=&mhkadv=为例，上海市化工职业病防治为例
1、越权及敏感信息泄露：
http://www.shhgzf.com:8280/dwcx/detail.asp?idx=10080&dt=&bhkrsl=&mhkadv=
http://www.shhgzf.com:8280/dwcx/detail.asp?idx=10076&dt=&bhkrsl=&mhkadv=

xinxi1.jpg


xinxi2.jpg


2、注入：
http://www.shhgzf.com:8280/dwcx/detail.asp?idx=10080&dt=&bhkrsl=&mhkadv=
文件：
/dwcx/detail.asp
参数：
idx=10080
代码：

dim bhkidx,dt
		   bhkidx=request("idx")
		   dt=request("dt")
		   bhkrsl=request("bhkrsl")
		   mhkadv=request("mhkadv")
  <%
		  
		   set cn=getConn()
           set rs=server.createObject("adodb.recordset")
		   sql="select * from td_tj_bhksub where mtbidx="&bhkidx&" order by bhkgrpidx"
		   
		   'response.Write(sql)
	       rs.open sql,cn,1,1
	
	if rs.eof then
		   response.Write("您所查看的信息不存在！<a href=window.close();>关闭</a>")
    else
		  	
		  %>
		  
		  <table width="631"  class="tb_main" cellspacing="1">
			  <tr class="tr0">
			    <td width="25%" align="center">体检小组</td>
              <td width="25%" height="25" align="center">项目名称</td>
              <td width="25%" height="25" align="center" >检查结果</td>
              <td width="25%" align="center" >是否合格</td>
            </tr>
			<%
			j=1
			m="tr1"
			do while not rs.eof 
			%>
            <tr class="<%=m%>">
              <td width="25%" align="center"><%
			  		  set rs1=server.createObject("adodb.recordset")
		   sql1="select * from tb_tj_grp where idx="&rs("bhkgrpidx")
	       rs1.open sql1,cn,1,1 
			  bhkgrp=rs1("grpnam")
			 rs1.close 
			  response.Write(bhkgrp)
			  %></td>
              <td width="25%" height="25" align="center"><%
			  set rs2=server.createObject("adodb.recordset")
		   sql2="select * from tb_tj_bhkitm where idx="&rs("bhkitmidx")
	       rs2.open sql2,cn,1,1 
			  subman=rs2("itmnam")
			 rs2.close 
			  response.Write(subman)


sql1.jpg


sql2.jpg


sql3.jpg


其他的案例：

2.jpg


3.jpg

漏洞证明：

修复方案：

版权声明：转载请注明来源 BMa@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：13

确认时间：2015-03-11 10:53

厂商回复：

CNVD确认并复现所述情况，由CNVD通过网站公开联系方式向软件生产厂商通报。

最新状态：

暂无