当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-078495

漏洞标题:中国名校自主招生网存在POST型SQL注入漏洞和弱密码,可导致用户及管理员信息泄露,并可进入后台

相关厂商:中国名校自主招生网

漏洞作者: 大孩小孩

提交时间:2014-10-07 13:38

修复时间:2014-11-21 13:38

公开时间:2014-11-21 13:38

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:20

漏洞状态:未联系到厂商或者厂商积极忽略

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-10-07: 积极联系厂商并且等待厂商认领中,细节不对外公开
2014-11-21: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

中国名校自主招生网存在POST型SQL注入漏洞和弱密码,可导致用户及管理员信息泄露,并可进入后台
该网站自称“国家指定唯一官方网站”
4个管理员密码看的我都呆了。。。

详细说明:

网站的站内搜索没有过滤关键字符,导致POST型SQL注入
注入点:
http://www.mxzzzs.com/web/typesearch.aspx

QQ截图20141006194830.png


在输入框中输入',提示出错

QQ截图20141006201319.png


很明显没有过滤关键字。
用sqlmap跑一下

QQ截图20141006194542.png


QQ截图20141006194728.png


QQ截图20141006195154.png


QQ截图20141006195232.png


QQ截图20141006195249.png


可以跑出管理员和用户信息

QQ截图20141006200644.png


用户密码加密了,但是管理员密码没有加密

QQ截图20141006204219.png


四个管理员全部都是弱密码。。。
后台地址:
http://www.mxzzzs.com/admin/Login.aspx
后台里面

QQ截图20141006210024.png


另外还有两个ZY_Admin和vw_Admin我没找到在哪里,密码也没有加密。

漏洞证明:

同上

修复方案:

1.过滤字符
2.对管理员密码进行加密
3.将密码加强

版权声明:转载请注明来源 大孩小孩@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝


漏洞评价:

评论