当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-012379

漏洞标题：湖南省全省公民人口身份信息泄漏

相关厂商：湘警网

漏洞作者： th3jun

提交时间：2012-09-19 10:32

修复时间：2012-11-03 10:32

公开时间：2012-11-03 10:32

漏洞类型：内部绝密信息泄漏

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-09-19： 细节已通知厂商并且等待厂商处理中
2012-09-20： 厂商已经确认，细节仅向厂商公开
2012-09-30： 细节向核心白帽子及相关领域专家公开
2012-10-10： 细节向普通白帽子公开
2012-10-20： 细节向实习白帽子公开
2012-11-03： 细节向公众公开

简要描述：

湖南省全省公民信息泄漏，户口上有的都有!至于数据库是否被Bak不清楚，应该遭殃了！

详细说明：











网站非本人入侵，本人只做注入测试，图为入侵者挂上的TXT，
应该是走后台的一个上传页面拿到权限，但是访问时发现被删除!
http://222.247.33.3/upload.jsp 这个也是个上传
http://222.247.33.4:8000 而这台服务器 可以目录遍历
http://222.247.33.4:8000/bbs/test.jsp 存在爆出绝对路径 还有阿帕奇的应用也爆
如果MYSQL存在写入权限入侵者可以轻易拿到服务器权限！
http://222.247.33.4:8000/admin/目录下存在存在一个编辑器有安全隐患
http://222.247.33.3/manage/ 这个目录存在一个上传html无需后台密码验证可上传
入侵者很大可能利用此上传漏洞！
http://222.247.33.3/manage/upfile.htm 发现被删除！
http://222.247.33.3 公民信息的库存在于这台服务器
同C段服务器也可嗅探得到后台密码 然后查询公民信息，最后强制性使用证书!

漏洞证明：

修复方案：

加强后台等敏感信息泄漏！注入就不用我说了！
希望能做好公民信息防护，后台最好强制使用证书！

版权声明：转载请注明来源 th3jun@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：16

确认时间：2012-09-20 10:59

厂商回复：

CNVD确认并复现所述注入、上传情况，作为重要事件由CNCERT湖南分中心协调网站管理方处置。
按完全影响机密性，部分影响完整性和可用性进行评分，rank=8.97*1.1*1.6=15.787

最新状态：

暂无

漏洞评价：

评论

  1. 2012-09-19 10:36 | yingoing ( 路人 | Rank:26 漏洞数:2 | 操蛋的娃一枚)

    那个网站？求网址

  2. 2012-09-19 11:07 | 小胖子 认证白帽子 ( 核心白帽子 | Rank:1727 漏洞数:140 | 如果大海能够带走我的矮丑...)

    开门,查水表!” “水表在外面！” “开门，顺风快递！” “我没有订东西！” “CNMLGB！爆破一组准备！！！”

  3. 2012-09-19 11:13 | iceks ( 路人 | Rank:4 漏洞数:1 | 你是我的小呀小苹果~)

    开门,查水表!” “水表在外面！” “开门，顺风快递！” “我没有订东西！” “CNMLGB！爆破一组准备！！！”

  4. 2012-09-19 11:21 | liner ( 普通白帽子 | Rank:165 漏洞数:27 )

    我知道你是谁了,这个数据库几年前就已经泄露了是吧

  5. 2012-09-19 11:38 | Tea ( 普通白帽子 | Rank:297 漏洞数:37 | Can't We Be Young.)

    开门,查水表!” “水表在外面！” “开门，顺风快递！” “我没有订东西！” “CNMLGB！爆破一组准备！！！”

  6. 2012-09-19 11:49 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    开门,查水表!” “水表在外面！” “开门，顺风快递！” “我没有订东西！” “CNMLGB！爆破一组准备！！！”

  7. 2012-09-19 11:52 | 蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)

    开门,查水表!” “水表在外面！” “开门，顺风快递！” “我没有订东西！” “CNMLGB！爆破一组准备！！！”

  8. 2012-09-19 11:55 | yingoing ( 路人 | Rank:26 漏洞数:2 | 操蛋的娃一枚)

    开门,查水表!” “水表在外面！” “开门，顺风快递！” “我没有订东西！” “CNMLGB！爆破一组准备！！！”

  9. 2012-09-19 12:25 | yy520 ( 普通白帽子 | Rank:139 漏洞数:12 )

    开门,查水表!” “水表在外面！” “开门，顺风快递！” “我没有订东西！” “CNMLGB！爆破一组准备！！！”

  10. 2012-09-19 12:34 | 蓝风 ( 普通白帽子 | Rank:125 漏洞数:25 | 崬汸慾哓 嗼檤焄垳皁 沓猵圊屾亾沬荖 颩憬...)

    开门,查水表!” “水表在外面！” “开门，顺风快递！” “我没有订东西！” “CNMLGB！爆破一组准备！！！”

  11. 2012-09-19 12:36 | iiiiiiiii ( 普通白帽子 | Rank:680 漏洞数:89 | )

    洞主保重！

  12. 2012-09-19 12:36 | Sven ( 路人 | Rank:5 漏洞数:1 | S.v.e.n)

    开门,查水表!” “水表在外面！” “开门，顺风快递！” “我没有订东西！” “CNMLGB！爆破一组准备！！！”

  13. 2012-09-19 13:14 | m4trix1 ( 路人 | Rank:10 漏洞数:2 | 绝对有jj)

    开门,查水表!” “水表在外面！” “开门，顺风快递！” “我没有订东西！” “CNMLGB！爆破一组准备！！！”

  14. 2012-09-19 13:45 | hacker@sina.cn ( 普通白帽子 | Rank:288 漏洞数:27 | ANONYMOUS)

    开门,查水表!” “水表在外面！” “开门，顺风快递！” “我没有订东西！” “CNMLGB！爆破一组准备！！！”

  15. 2012-09-19 13:50 | shack2 ( 普通白帽子 | Rank:470 漏洞数:71 | QQ:1341413415 一个热爱编程(Java),热爱网...)

    跨省了....

  16. 2012-09-19 14:32 | zhpyuan ( 路人 | Rank:26 漏洞数:7 | 路在脚下啊)

    恩，好的，知道了。

  17. 2012-09-19 14:43 | 松子 ( 实习白帽子 | Rank:45 漏洞数:5 | 无事)

    开门,查水表!” “水表在外面！” “开门，顺风快递！” “我没有订东西！” “CNMLGB！爆破一组准备！！！”

  18. 2012-09-19 14:49 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    又吓唬人.....

  19. 2012-09-19 14:56 | 暗夜清风 ( 实习白帽子 | Rank:44 漏洞数:10 | 大哥,你的娃娃掉了.举手之劳,不必以身相许)

    开门,查水表!” “水表在外面！” “开门，顺风快递！” “我没有订东西！” “CNMLGB！爆破一组准备！！！”

  20. 2012-09-19 15:01 | 疯子 ( 普通白帽子 | Rank:242 漏洞数:42 | 世人笑我太疯癫，我笑世人看不穿~)

    开门,查水表!” “水表在外面！” “开门，顺风快递！” “我没有订东西！” “CNMLGB！爆破一组准备！！！”

  21. 2012-09-19 15:14 | dante ( 路人 | Rank:4 漏洞数:1 | http://zhu.zhu.kr)

    开门,查水表!” “水表在外面！” “开门，顺风快递！” “我没有订东西！” “CNMLGB！爆破一组准备！！！”

  22. 2012-09-19 15:16 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    楼上太........

  23. 2012-09-19 15:16 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    狙击手准备。。 倒计时，3..2..1.

  24. 2012-09-19 15:19 | hongygxiang ( 普通白帽子 | Rank:115 漏洞数:12 | 蛋疼)

    @zeracker 射

  25. 2012-09-19 15:22 | Anony ( 实习白帽子 | Rank:38 漏洞数:5 | 乌云白帽子一枚)

    开炮~

  26. 2012-09-19 16:27 | 闪电小子 ( 实习白帽子 | Rank:63 漏洞数:5 | PKAV技术宅社区！---闪电小子！)

    开门,查水表!” “水表在外面！” “开门，顺风快递！” “我没有订东西！” “CNMLGB！爆破一组准备！！！”

  27. 2012-09-19 17:36 | 1cefish ( 实习白帽子 | Rank:47 漏洞数:12 | 作为一个到处漂泊了5年的SB 表示黑客无处不...)

    - - 好早之前就知道了- -

  28. 2012-09-19 20:37 | Master ( 路人 | Rank:29 漏洞数:10 )

    开门,查水表!” “水表在外面！” “开门，顺风快递！” “我没有订东西！” “CNMLGB！爆破一组准备！！！”

  29. 2012-09-20 01:00 | B1n4ry ( 实习白帽子 | Rank:55 漏洞数:6 )

    开门,查水表!” “水表在外面！” “开门，顺风快递！” “我没有订东西！” “CNMLGB！所有爆破组准备！狙击手准备！！”

  30. 2012-09-20 01:09 | th3jun ( 路人 | Rank:16 漏洞数:2 | /* test */)

    @蟋蟀哥哥 我勒个去，这都是什么评论，我怕了，我无语。。哎。如果这次出事，以后谁还会乱报漏洞，反正不是我入侵的，跟有什么关系？？？

  31. 2012-09-20 01:34 | 椰子 ( 路人 | Rank:5 漏洞数:1 )

    开门,查水表!” “水表在外面！” “开门，顺风快递！” “我没有订东西！” “CNMLGB！爆破一组准备！！！”

  32. 2012-09-20 08:31 | 蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)

    @th3jun 谁让你让人丢面子了

  33. 2012-09-30 19:37 | th3jun ( 路人 | Rank:16 漏洞数:2 | /* test */)

    蛋疼 还不修复 迟早遭殃

  34. 2012-10-10 11:10 | 顺子 ( 普通白帽子 | Rank:236 漏洞数:36 | 0-0努力像正常青年靠近，再也不当上错图的2...)

    开门,查水表!” “水表在外面！” “开门，顺风快递！” “我没有订东西！” “CNMLGB！爆破一组准备！！！”

  35. 2012-10-10 11:58 | 苦逼老爷爷 ( 普通白帽子 | Rank:211 漏洞数:17 | 用户太懒什么都没留下)

    开门,查水表!” “水表在外面！” “开门，顺风快递！” “我没有订东西！” “CNMLGB！爆破一组准备！！！”

  36. 2012-10-10 14:04 | 大和尚 ( 实习白帽子 | Rank:49 漏洞数:5 | www.ieroot.com 积极向上的心态！百折不挠...)

    开门,查水表!” “水表在外面！” “开门，顺风快递！” “我没有订东西！” “CNMLGB！爆破一组准备！！！"<--- 政府不求明理达义，弘扬科学，只求遮羞乎？

  37. 2012-10-10 18:00 | iiiiiiiii ( 普通白帽子 | Rank:680 漏洞数:89 | )

    公开了居然还没修复？ 那黑页居然还在 政府办事效率不高啊

  38. 2012-10-11 16:56 | 顺子 ( 普通白帽子 | Rank:236 漏洞数:36 | 0-0努力像正常青年靠近，再也不当上错图的2...)

    开门,查水表!” “水表在外面！” “开门，顺风快递！” “我没有订东西！” “CNMLGB！爆破一组准备！！！”

  39. 2012-10-16 21:28 | Max ( 实习白帽子 | Rank:45 漏洞数:7 | When you see this sentence, I have been ...)

    开门,查水表!” “水表在外面！” “开门，顺风快递！” “我没有订东西！” “CNMLGB！爆破一组准备！！！”

  40. 2012-10-22 12:31 | Sven ( 路人 | Rank:5 漏洞数:1 | S.v.e.n)

    你是有多喜欢李湘啊？

  41. 2012-11-04 16:02 | isno ( 路人 | Rank:20 漏洞数:3 | test)

    李湘这么大岁数了啊，还以为和我差不多大呢

  42. 2015-01-07 09:40 | 南宁网警Mx ( 路人 | Rank:8 漏洞数:5 | 我是独行侠。有心交友qq1552673833)

    开门,查水表!” “水表在外面！” “开门，顺风快递！” “我没有订东西！” “CNMLGB！爆破一组准备！！！”