当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-074719

漏洞标题:万户OA某页面通用性SQL注入(又影响N个政府网和医疗机构)

相关厂商:万户网络

漏洞作者: 鬼魅羊羔

提交时间:2014-09-02 11:03

修复时间:2014-10-17 11:04

公开时间:2014-10-17 11:04

漏洞类型:SQL注射漏洞

危害等级:中

自评Rank:10

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-09-02: 细节已通知厂商并且等待厂商处理中
2014-09-07: 厂商已经确认,细节仅向厂商公开
2014-09-17: 细节向核心白帽子及相关领域专家公开
2014-09-27: 细节向普通白帽子公开
2014-10-07: 细节向实习白帽子公开
2014-10-17: 细节向公众公开

简要描述:

其实我一直琢磨,之前发的那个,为什么有一部分不能注入,后来找了找,发现不能注入的都是oracle数据库,很好奇。。。然后……就发现了这个通用注入。。例子中,涉及淮北市卫生局,内蒙古海勃湾区市政府、怀远县政府等多家政府单位和医疗机构。在注入时貌似有些限制,凌晨1:45了,就不继续测试了,该睡觉了。。

详细说明:

万户OA协同管理系统,存在POST注入
问题链接:defaultroot/mobile/index.jsp
该登陆框,username处没有做过滤,导致了POST注入
详细看图吧。。。

漏洞证明:

http://60.172.210.251:7001/defaultroot/mobile/index.jsp?action=password
淮北市卫生局
海勃湾区政府

海勃湾区政府.png


海勃湾区市政府OA-sql注入.png


怀远县政府OA-sql注入.png


两张图够了,发现注入的过程就不写了,重要的是结果不是么。。

修复方案:

还是常规修复。。

版权声明:转载请注明来源 鬼魅羊羔@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:18

确认时间:2014-09-07 09:22

厂商回复:

最新状态:

暂无


漏洞评价:

评论

  1. 2014-09-05 15:41 | 鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:42 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

    影响面不是太大,测试了7个网站,有注入问题的,只有4个,貌似是个别几个版本的问题。

  2. 2014-09-07 11:59 | 鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:42 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

    通用啊,这要能加个$该多好。。。

  3. 2014-10-17 11:28 | Martial ( 普通白帽子 | Rank:544 漏洞数:103 )

    @鬼魅羊羔 站点太少了 加精应该无望