漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-063672
漏洞标题：西安电子科技大学JWC系统sql注入漏洞
相关厂商：西安电子科技大学
漏洞作者： ontheway
提交时间：2014-06-05 16:48
修复时间：2014-07-23 21:00
公开时间：2014-07-23 21:00
漏洞类型：SQL注射漏洞
危害等级：中
自评Rank：10
漏洞状态：已交由第三方合作机构(CCERT教育网应急响应组)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-06-05： 细节已通知厂商并且等待厂商处理中
2014-06-09： 厂商已经确认，细节仅向厂商公开
2014-06-19： 细节向核心白帽子及相关领域专家公开
2014-06-29： 细节向普通白帽子公开
2014-07-09： 细节向实习白帽子公开
2014-07-23： 细节向公众公开
简要描述：
西电教务管理系统 sql注入漏洞 一枚
详细说明：
漏洞存在于课程讨论区 （估计没什么人 知道教务处还有这功能，这套系统功能都快被学校删光了·······）
如图 oracle数据库
109张表找数据找到吐啊
漏洞证明：
爆user表的列名
爆数据
嘎嘎 下一步等进去 体验一下
所有老师学生的信息一览无余啊
另外教务人员等等的账号权利有多大就不说了你们自己掂量吧
修复方案：
我猜学校会把页面删了·······
版权声明：转载请注明来源 ontheway@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：6
确认时间：2014-06-09 09:22
厂商回复：
通知用户处理中
最新状态：
暂无