漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0170134
漏洞标题：中北大学信息商务学院某处SQL注射，可shell／几万人学生信息包括身份证号,学号泄露
相关厂商：中北大学信息商务学院
漏洞作者： 小白猫
提交时间：2016-01-17 11:23
修复时间：2016-02-27 11:49
公开时间：2016-02-27 11:49
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：15
漏洞状态：已交由第三方合作机构(CCERT教育网应急响应组)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-01-17： 细节已通知厂商并且等待厂商处理中
2016-01-18： 厂商已经确认，细节仅向厂商公开
2016-01-28： 细节向核心白帽子及相关领域专家公开
2016-02-07： 细节向普通白帽子公开
2016-02-17： 细节向实习白帽子公开
2016-02-27： 细节向公众公开
简要描述：
中北大学信息商务学院某处SQL注射，可拿下shell.服务器。已经暴露几万人学生信息，包括身份证号，学号。
详细说明：
一开始是这样的，妹子说想选的课没选上，看我能不能帮上啥忙。
然后屁颠屁颠的就去了。
http://**.**.**.**/cms/index.php
首页有个学生信息管理系统
点进去就到了后台登陆界面，用户名' or 1=1 # 密码随便填。
进去后在修改学生信息的地方有个上传学生图片的地方，上传的文件类型没有做验证，可导致getshell.
我是昨天发现的，因为小白一个，想让大牛帮忙提权进而渗透正方帮助妹子改选的课。
但是昨天把这个地方给某大牛说了以后，就在登陆界面添加了这么一句话
然后试图绕过去
可见这个大牛并没有帮助我提权进而帮助妹子改课程，而且在后台的登陆验证上也把我做了限制，
然后我在空间发现了这个
已经提权成功，并且这些数据在黑市上贩卖。
之间我进入后台的截图
可以肯定的说，服务器现在在那位黑产牛手里，麻烦通知一下学校。我只是想帮助我女朋友修改个课程，想通过这里渗透到正方的服务器。。。。。。求不要查水表。
漏洞证明：
一开始是这样的，妹子说想选的课没选上，看我能不能帮上啥忙。
然后屁颠屁颠的就去了。
http://**.**.**.**/cms/index.php
首页有个学生信息管理系统
点进去就到了后台登陆界面，用户名' or 1=1 # 密码随便填。
我是昨天发现的，因为小白一个，想让大牛帮忙提权进而渗透正方帮助妹子改选的课。
但是昨天把这个地方给某大牛说了以后，就在登陆界面添加了这么一句话
然后试图绕过去
可见这个大牛并没有帮助我提权进而帮助妹子改课程，而且在后台的登陆验证上也把我做了限制，
然后我在空间发现了这个
已经提权成功，并且这些数据在黑市上贩卖。
之间我进入后台的截图
可以肯定的说，服务器现在在那位黑产牛手里，麻烦通知一下学校。我只是想帮助我女朋友修改个课程，想通过这里渗透到正方的服务器。。。。。。求不要查水表。
修复方案：
学校尽快吧后台的登陆和前台的登陆改一下吧，要不正常的用户名和账号都登不进去。后台修改学生信息上传图片的地方做一下文件验证。
版权声明：转载请注明来源 小白猫@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：6
确认时间：2016-01-18 08:34
厂商回复：
通知处理中
最新状态：
暂无