当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-024658

漏洞标题：驾校一点通多处安全漏洞集合

相关厂商：驾校一点通

漏洞作者： 海绵宝宝

提交时间：2013-05-28 11:13

修复时间：2013-07-12 11:14

公开时间：2013-07-12 11:14

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：10

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-05-28： 细节已通知厂商并且等待厂商处理中
2013-06-01： 厂商已经确认，细节仅向厂商公开
2013-06-11： 细节向核心白帽子及相关领域专家公开
2013-06-21： 细节向普通白帽子公开
2013-07-01： 细节向实习白帽子公开
2013-07-12： 细节向公众公开

简要描述：

驾校一点通多处安全漏洞集合

详细说明：

驾校一点通dns域传送（专注dns域30年）
wap页面反射性XSS
wap页面sql注射

漏洞证明：

dns域传送
root@kali:~# dnsenum jxedt.com

1.jpg


2.jpg


反射型XSS
http://www.jxedt.com/wap/?k=xsscode

3.jpg


sql注射
http://www.jxedt.com/wap/index1.asp?k=1

4.jpg


5.jpg


编码问题，谁能告诉我怎么解决

修复方案：

第一个不会
后两个过滤

版权声明：转载请注明来源 海绵宝宝@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：11

确认时间：2013-06-01 22:12

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2013-05-28 13:45 | Passer_by ( 实习白帽子 | Rank:97 漏洞数:21 | 问题真实存在但是影响不大（腾讯微博Passer...)

    洞主是不是考试不及格，泄愤了

  2. 2013-05-28 14:24 | abcdlzy ( 实习白帽子 | Rank:79 漏洞数:14 | 好好学习，天天向上。)

    洞主是不是考试不及格，泄愤了

  3. 2013-05-28 14:30 | 海绵宝宝 ( 普通白帽子 | Rank:243 漏洞数:50 | 唯有梦想与好姑娘不可辜负.)

    @Passer_by 洞主表示18岁，驾照已到手

  4. 2013-05-28 19:36 | O.o ( 普通白帽子 | Rank:105 漏洞数:12 | ส็็็็็็็็็็็็็็็็็็็...)

    感觉13科目一号坑爹：“在道路上发生交通事故造成人身伤亡时，要立即抢救受伤人员并迅速报警。”这个是对的！“发生交通事故造成人员受伤时，要保护现场并立即报警。”这个也是对的！我勒个去去！！！到底救不救！！！！

  5. 2013-05-28 19:43 | 海绵宝宝 ( 普通白帽子 | Rank:243 漏洞数:50 | 唯有梦想与好姑娘不可辜负.)

    @O.o 第一个是人伤亡时，就是快死了，要赶紧救。 第二个是人员受伤时，意思就是伤不重，不至于死亡，就先报警

  6. 2013-05-28 22:17 | O.o ( 普通白帽子 | Rank:105 漏洞数:12 | ส็็็็็็็็็็็็็็็็็็็...)

    @海绵宝宝 貌似解决了的样子~~万一是内伤看不出来肿么破~

  7. 2013-05-29 07:27 | 海绵宝宝 ( 普通白帽子 | Rank:243 漏洞数:50 | 唯有梦想与好姑娘不可辜负.)

    @O.o 有bug

  8. 2013-05-30 09:18 | O.o ( 普通白帽子 | Rank:105 漏洞数:12 | ส็็็็็็็็็็็็็็็็็็็...)

    @海绵宝宝 报乌云吧~

  9. 2013-05-30 18:19 | 海绵宝宝 ( 普通白帽子 | Rank:243 漏洞数:50 | 唯有梦想与好姑娘不可辜负.)

    @O.o 这是要忽略的节奏么