漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-014227
漏洞标题：某地区车管所车主数据泄漏
相关厂商：某地区车管所
漏洞作者： Fate
提交时间：2012-11-02 15:14
修复时间：2012-12-17 15:15
公开时间：2012-12-17 15:15
漏洞类型：敏感信息泄露
危害等级：高
自评Rank：15
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-11-02： 细节已通知厂商并且等待厂商处理中
2012-11-06： 厂商已经确认，细节仅向厂商公开
2012-11-16： 细节向核心白帽子及相关领域专家公开
2012-11-26： 细节向普通白帽子公开
2012-12-06： 细节向实习白帽子公开
2012-12-17： 细节向公众公开
简要描述：
某地区车管所车主数据泄漏 上传未过滤 已经成功提权 oracle数据库
详细说明：
河北车管所 www.tpstar.net bbs目录下面存在弱口令用户 并且发帖上传没有做好过滤 虽然禁用了fso 但是可以上传免fso asp木马 继续上传aspx大马 shell权限很大 直接提权
漏洞证明：
修复方案：
目测子目录BBS无用 建议清理弱口令 过滤上传 N个目录后台存在弱口令 还有就是首页选号的貌似不管用了 应该还要修复一下啊 就是不知道怎样CNVD才给证书挖！！
版权声明：转载请注明来源 Fate@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：12
确认时间：2012-11-06 20:17
厂商回复：
近期任务队列较多，CNVD暂未直接复现，不过根据图片情况已经可以确认上传漏洞存在，可上传shell。已列入处置任务队列，预计近日转由CNCERT 河北分中心处置。
按完全机密性，部分影响完整性进行评分，基本危害评分8.47，发现技术难度系数1.1，涉及行业或单位影响危害系数1.3，rank=8.47*1.1*1.3=12.112
最新状态：
暂无