漏洞概要
关注数(24)
关注此漏洞
漏洞标题：南京市图书馆数据可能泄漏
提交时间：2012-04-13 10:55
修复时间：2012-05-28 10:56
公开时间：2012-05-28 10:56
漏洞类型：用户资料大量泄漏
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
Tags标签：
无
漏洞详情
披露状态：
2012-04-13： 细节已通知厂商并且等待厂商处理中
2012-04-16： 厂商已经确认，细节仅向厂商公开
2012-04-26： 细节向核心白帽子及相关领域专家公开
2012-05-06： 细节向普通白帽子公开
2012-05-16： 细节向实习白帽子公开
2012-05-28： 细节向公众公开
简要描述：
南京市图书馆数据有泄漏，初步统计大概36万注册时填的个人资料，包含姓名，住址，单位，手机号码和身份证号码被泄露
详细说明：
链接http://www.jslib.org.cn/pub/
遍历目录功能开放，aleph.rar就是南图的数据库，解压后为1.5G的sql文件
漏洞证明：
修复方案：
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：11
确认时间：2012-04-16 05:37
厂商回复：
CNVD确认漏洞并对某可疑备份文件进行了查阅。漏洞事件已经在周五下午的时候先行通知了CNCERT江苏分中心，预计周一可以协调涉事单位进行处置。
对该漏洞评分如下：
CVSS评分：(AV:R/AC:L/Au:NR/C:C/A:N/I:N/B:N) Score:7.79（最高10分，高危)
即：远程攻击、攻击难度低、不需要用户认证，对机密性造成完全影响，不影响可用性、完整性。
技术难度系数：0.9(较易，目录遍历惹的祸)
影响危害系数：1.5(严重，存在用户信息泄露风险）
综合评分：7.79*0.9*1.5=10.52
最新状态：
暂无
漏洞评价：
评论
-
2012-04-13 15:19 |
xsser 
( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)
-
2012-04-13 16:51 |
Errorera ( 普通白帽子 | Rank:112 漏洞数:21 | 我们应该在犯错误的情况下学习！)
没影响呀 80年代看书的比较多吧。。现在大叔大妈有事没事都看电影啦
-
2012-04-13 17:10 |
期待爱 ( 路人 | Rank:19 漏洞数:3 | 这个家伙很精明 连条内裤也没有留下！！！)
-
确认目录遍历情况，待将大文件导入库里看看。待评估。除导入库，有没有更直接的办法看.sql大文件？求指教。
-
2012-04-13 19:27 |
顺子 ( 普通白帽子 | Rank:236 漏洞数:36 | 0-0努力像正常青年靠近，再也不当上错图的2...)
@cncert国家互联网应急中心 直接使用UE编辑器以txt格式打开(不使用UE编辑器，windows自带的记事本会卡死人)
-
2012-04-13 20:04 |
Valo洛洛 ( 普通白帽子 | Rank:458 漏洞数:52 | 。)
@cncert国家互联网应急中心 UE打开几百M文件无压力
-
@Valo洛洛 UE windows下太慢，普通的少列文本还行，对SQL搞不定。回到家里用自己的机器VIM开。
-
2012-04-13 22:54 |
horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)
@xsser 还是可观的。统计为第4例图书馆相关安全案例
-
2012-04-14 00:01 |
菜菜来报道 ( 路人 | Rank:19 漏洞数:4 | 小事做起，一点一滴，终成洪流)
@cncert国家互联网应急中心 ue也打不开，实在太卡，我用的是把文件分割成300左右的2m的小文件，然后用ue打开，搜索用ue的find in files 搜中文偏慢，数字id号，很快，over
-
2012-04-14 00:02 |
horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)
根据近期wooyun图书馆相关案例出现趋于频繁的事实，已在图书馆人交流平台“书社会”发了一篇预警日志，希望有业内人士关注。
-
2012-04-14 00:04 |
菜菜来报道 ( 路人 | Rank:19 漏洞数:4 | 小事做起，一点一滴，终成洪流)
@xsser 错了，里面的资料很多很全的，因为注册的时候填的都是纸质文件，所以大部分人都填的很全，数量很大，看你想用在哪方面了
-
2012-04-14 00:10 |
菜菜来报道 ( 路人 | Rank:19 漏洞数:4 | 小事做起，一点一滴，终成洪流)
@horseluke 坑爹呢，我之前已经给此馆负责任邮件了，半个月都没有回应，漏洞依旧，气死人了，那帮坑爹的家伙，你发个预警他们满不在乎，非得等数据库曝光了，大家都讨伐他们的时候才知道后果严重
-
2012-04-14 00:17 |
horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)
@xsser ，@菜菜来报道 的说法完全正确的，这是由整个图书馆的业务流程所导致的，所以数据失窃的后果也是可观的。当然，有能力搞图书馆的黑阔，可能更喜欢数据量更全的社保等ZF单位数据库。
-
2012-04-14 00:24 |
horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)
@菜菜来报道 基层图书馆一直以来受大环境的不重视、运行经费紧张和行政体系等众多原因的影响，其技术能力是非常非常薄弱的，更不要考虑安全保障。因此即使知道漏洞，也只能徒奈何——因为找外包厂商修也不是一件容易的事情。在这点上，在加上个人的许多经历，我是对图书馆产生同情的。
-
2012-04-14 00:53 |
菜菜来报道 ( 路人 | Rank:19 漏洞数:4 | 小事做起，一点一滴，终成洪流)
@horseluke 其实鄙人觉得这个库完全没有必要对外，自己内部查询就ok了，真正用在线借阅续借的人真的很少很少，再严格区分内外网，对外就是个简介，图书馆动态一样的信息发布平台，就算被入侵，危害也不大
-
2012-04-14 01:01 |
horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)
@菜菜来报道 不清楚这个漏洞来源，如果是OPAC，是无论如何都要公开的，否则对读者也是不公平，也与图书馆所追求的信息公平违背。另外还有数据库尽量开放市民查询等，也是出于同样的原因。
-
2012-04-14 01:03 |
horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)
@菜菜来报道 但是身份查询等涉及个人隐私的东西一直以来都肯定是内部才能用的，这是OPAC肯定要做到的事情。未公开之前，我还是不猜测了，等公开后再说说一些细节。
-
2012-04-14 11:39 |
Z-0ne ( 普通白帽子 | Rank:559 漏洞数:38 | 目前专注于工控安全基础研究，工业数据采集...)
你拖裤子，他拖裤子，以后大家真就没裤子穿了，到时你放个屁别人都知道了------------以上纯属吐槽
-
2012-05-28 17:56 |
xsser ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)
洞主应该在那个数据库文件的内容抓个图的，说不定是小电影改了个后缀呢
