漏洞概要
关注数(24)
关注此漏洞
漏洞标题:江苏有线网上营业厅SQL注入(百万级用户信息)
提交时间:2015-03-25 21:19
修复时间:2015-05-10 16:34
公开时间:2015-05-10 16:34
漏洞类型:SQL注射漏洞
危害等级:高
自评Rank:20
漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理
Tags标签:
无
漏洞详情
披露状态:
2015-03-25: 细节已通知厂商并且等待厂商处理中
2015-03-26: 厂商已经确认,细节仅向厂商公开
2015-04-05: 细节向核心白帽子及相关领域专家公开
2015-04-15: 细节向普通白帽子公开
2015-04-25: 细节向实习白帽子公开
2015-05-10: 细节向公众公开
简要描述:
江苏有线网上营业厅SQL注入 毕竟全省有线电视+有线宽带网 涉及大量用户数据
详细说明:
江苏有线网上营业厅http://www.js96296.com/dzyyt_wt/cnnet/info/getProductFloor.jspx
注入点不少 注入点1:
注入点2
注入点3
oracle数据库
漏洞证明:
随便找了一个历史库160多万条数据
里面有大量的用户关键信息 只是象征性的看了3条
修复方案:
版权声明:转载请注明来源 Vern@乌云
漏洞回应
厂商回应:
危害等级:高
漏洞Rank:20
确认时间:2015-03-26 16:33
厂商回复:
多谢多谢
最新状态:
暂无
漏洞评价:
评论
-
2015-03-25 21:26 |
玉林嘎 ( 普通白帽子 | Rank:758 漏洞数:96 )
-
2015-03-25 21:34 |
Vern ( 普通白帽子 | Rank:517 漏洞数:77 | Keep It Simple, Stupid)
-
2015-03-25 21:40 |
Vern ( 普通白帽子 | Rank:517 漏洞数:77 | Keep It Simple, Stupid)
@玉林嘎 缘来海绵宝宝大牛就是江苏有线的啊 尴尬了
-
2015-03-25 22:58 |
子非海绵宝宝 ( 核心白帽子 | Rank:1044 漏洞数:106 | 发扬海绵宝宝的精神!你不是海绵宝宝,你怎...)
-
2015-03-25 23:03 |
子非海绵宝宝 ( 核心白帽子 | Rank:1044 漏洞数:106 | 发扬海绵宝宝的精神!你不是海绵宝宝,你怎...)
-
2015-03-25 23:13 |
子非海绵宝宝 ( 核心白帽子 | Rank:1044 漏洞数:106 | 发扬海绵宝宝的精神!你不是海绵宝宝,你怎...)
@Vern 已经转交了 能不能过来认领我就不知道了
-
2015-03-26 12:59 |
answer ( 普通白帽子 | Rank:347 漏洞数:45 | 答案)