漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-077698
漏洞标题：某高校在用系统通用SQL注入#1
相关厂商：cncert国家互联网应急中心
漏洞作者： by:龙少
提交时间：2014-09-30 12:33
修复时间：2014-12-26 12:34
公开时间：2014-12-26 12:34
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：13
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-09-30： 细节已通知厂商并且等待厂商处理中
2014-10-05： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2014-11-29： 细节向核心白帽子及相关领域专家公开
2014-12-09： 细节向普通白帽子公开
2014-12-19： 细节向实习白帽子公开
2014-12-26： 细节向公众公开
简要描述：
SQL注射！
详细说明：
系统主要应用于各大高校。。。asp+Microsoft SQL Server
注入存在：indexmore.asp?leibie=
谷歌关键字：inurl:web/indexmore.asp?leibie=
枚举五个案例进行漏洞证明：
案例一：广安职业技术学院实验实训中心：
http://www.gzysx.com:80/sx/web/web/web/indexmore.asp?leibie=%CA%B5%D1%E9%CA%B5%D1%B5%CA%D2%BC%F2%BD%E9
案例二：淮南职业技术学院：
http://220.178.213.189/web/web/web/indexmore.asp?leibie=%B9%AB%B8%E6
案例三：广西职业技术学院：
http://www.gxevc.com:10333/web/web/web/indexmore.asp?leibie=%B9%AB%CE%C4%B7%A2%CB%CD
案例四：
四川职业技术学院：
http://125.67.64.233:81/web/web/web/indexmore.asp?leibie=%D0%C2%CE%C5%B1%A8%B5%C0
案例五：攀枝花建筑工程学校
http://218.89.109.22/web/web/web/indexmore.asp?leibie=%CD%A8%D6%AA%B9%AB%B8%E6
漏洞证明：
案例一：广安职业技术学院实验实训中心：
http://www.gzysx.com:80/sx/web/web/web/indexmore.asp?leibie=%CA%B5%D1%E9%CA%B5%D1%B5%CA%D2%BC%F2%BD%E9
案例二：淮南职业技术学院：
http://220.178.213.189/web/web/web/indexmore.asp?leibie=%B9%AB%B8%E6
案例三：广西职业技术学院：
http://www.gxevc.com:10333/web/web/web/indexmore.asp?leibie=%B9%AB%CE%C4%B7%A2%CB%CD
案例四：
四川职业技术学院：
http://125.67.64.233:81/web/web/web/indexmore.asp?leibie=%D0%C2%CE%C5%B1%A8%B5%C0
案例五：攀枝花建筑工程学校
http://218.89.109.22/web/web/web/indexmore.asp?leibie=%CD%A8%D6%AA%B9%AB%B8%E6
修复方案：
上述！
版权声明：转载请注明来源 by:龙少@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-12-26 12:34
厂商回复：
最新状态：
2014-10-08：