当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2012-014227

漏洞标题:某地区车管所车主数据泄漏

相关厂商:某地区车管所

漏洞作者: Fate

提交时间:2012-11-02 15:14

修复时间:2012-12-17 15:15

公开时间:2012-12-17 15:15

漏洞类型:敏感信息泄露

危害等级:高

自评Rank:15

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2012-11-02: 细节已通知厂商并且等待厂商处理中
2012-11-06: 厂商已经确认,细节仅向厂商公开
2012-11-16: 细节向核心白帽子及相关领域专家公开
2012-11-26: 细节向普通白帽子公开
2012-12-06: 细节向实习白帽子公开
2012-12-17: 细节向公众公开

简要描述:

某地区车管所车主数据泄漏 上传未过滤 已经成功提权 oracle数据库

详细说明:

河北车管所 www.tpstar.net bbs目录下面存在弱口令用户 并且发帖上传没有做好过滤 虽然禁用了fso 但是可以上传免fso asp木马 继续上传aspx大马 shell权限很大 直接提权

漏洞证明:

1.jpg

2.jpg

修复方案:

目测子目录BBS无用 建议清理弱口令 过滤上传 N个目录后台存在弱口令 还有就是首页选号的貌似不管用了 应该还要修复一下啊 就是不知道怎样CNVD才给证书挖!!

版权声明:转载请注明来源 Fate@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:12

确认时间:2012-11-06 20:17

厂商回复:

近期任务队列较多,CNVD暂未直接复现,不过根据图片情况已经可以确认上传漏洞存在,可上传shell。已列入处置任务队列,预计近日转由CNCERT 河北分中心处置。
按完全机密性,部分影响完整性进行评分,基本危害评分8.47,发现技术难度系数1.1,涉及行业或单位影响危害系数1.3,rank=8.47*1.1*1.3=12.112

最新状态:

暂无


漏洞评价:

评论

  1. 2012-11-02 20:02 | Fate ( 实习白帽子 | Rank:51 漏洞数:5 | www.0hk.org)

    希望提交了真的补上才是

  2. 2013-09-24 09:59 | j2ck3r ( 普通白帽子 | Rank:406 漏洞数:92 | 别关注我,跟你不熟。)

    求那个免fso asp木马 @Fate

  3. 2013-09-24 09:59 | j2ck3r ( 普通白帽子 | Rank:406 漏洞数:92 | 别关注我,跟你不熟。)

    你脱裤了 ?

  4. 2013-09-24 16:43 | Fate ( 实习白帽子 | Rank:51 漏洞数:5 | www.0hk.org)

    @j2ck3r 咋了你又去日了? 木马没了 百度一下

  5. 2013-09-25 19:16 | j2ck3r ( 普通白帽子 | Rank:406 漏洞数:92 | 别关注我,跟你不熟。)

    @Fate 我没日呀,我只想要你的那个免FSO的asp的木马 百度不知道哪个