当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0100789

漏洞标题:万达某站点漏洞合集泄漏各种数据

相关厂商:大连万达集团股份有限公司

漏洞作者: Vigoss_Z

提交时间:2015-03-11 23:43

修复时间:2015-04-25 23:44

公开时间:2015-04-25 23:44

漏洞类型:系统/服务运维配置不当

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-03-11: 细节已通知厂商并且等待厂商处理中
2015-03-12: 厂商已经确认,细节仅向厂商公开
2015-03-22: 细节向核心白帽子及相关领域专家公开
2015-04-01: 细节向普通白帽子公开
2015-04-11: 细节向实习白帽子公开
2015-04-25: 细节向公众公开

简要描述:

求高rank

详细说明:

http://124.238.219.66/propertynet/

Data Source=10.199.201.40;Initial Catalog=IFCANet_R2_8_WanDa_SEMS_Training;Persist Security Info=True;User ID=yxcehuagl_user;Password=1234Qwer;MultipleActiveResultSets=False;Packet Size=4096


00001.jpg


这样真的好吗
登陆:用户名和密码des加密发送:

00002.jpg


admin:123456

00003.jpg


登陆后多处注入:

00004.jpg


sql语句写在请求中...

00005.jpg


数据库用户权限过大,117个库,各种微信,e-hr......

00006.jpg

漏洞证明:

iis枚举.
外送个ftp:
autodownload_fy:autodownload_fy@yxftp.wanda.cn

00007.jpg

修复方案:

版权声明:转载请注明来源 Vigoss_Z@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:8

确认时间:2015-03-12 09:04

厂商回复:

感谢Vigoss_Z同学的关注与贡献!此漏洞为测试开发环境中,马上通知业务整改!

最新状态:

暂无


漏洞评价:

评论