漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0108743
漏洞标题：某地方人才银行SQL注入（泄露50万非采集完整简历非采集）
相关厂商：cncert国家互联网应急中心
漏洞作者： 东方不败
提交时间：2015-04-18 09:51
修复时间：2015-06-07 08:26
公开时间：2015-06-07 08:26
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-04-18： 细节已通知厂商并且等待厂商处理中
2015-04-23： 厂商已经确认，细节仅向厂商公开
2015-05-03： 细节向核心白帽子及相关领域专家公开
2015-05-13： 细节向普通白帽子公开
2015-05-23： 细节向实习白帽子公开
2015-06-07： 细节向公众公开
简要描述：
各种洞。。。就不一一说了，网站确定在用，简历都是昨天都在更新。跟前程和智联安全性真的没法比，哎。
未完待续
详细说明：
我是怎么知道又50万简历的呢，本来想等SQL注入出来，但是无奈SQL2000各种慢，各种出错。看到个查询。忽然看到编号，是否能根据最新编号判断，查询得知截止最新编号在，定位在510618，输入这个范围完没有，故得知有50多万简历，也可能存在误报，测试账号不是管理员账号，只是一个企业用户的账号，可能会更多。
漏洞URL：
http://noviciate.people258.com/News/BulletinList.aspx?newsType=27
http://noviciate.people258.com/News/NewsList.aspx?newsType=26
时间盲注：
http://search.people258.com/SearchResult.aspx?AreaNamesContent=%E5%98%89%E5%85%B4&area=3304
http://search.people258.com/SearchResult.aspx?KeyType=3&AreaNamesContent=%E9%80%89%E6%8B%A9%2F%E4%BF%AE%E6%94%B9&KeyWord=%E4%BA%BA%E5%8A%9B%E8%B5%84%E6%BA%90&area=
http://search.people258.com/SearchResult.aspx?Release=-1&keyType=3&keyword=%E4%BA%BA%E5%8A%9B%E8%B5%84%E6%BA%90
源码泄露：里面发现了FCK，但是试了没法- -
http://manager.people258.com/auth.rar
源码里还有各种信息，身份证，工资明细等。补贴真好，我也想！！！
弱口令还是比较多，
baojy people258
aohy people258
aizq 2325457
linl 123456
等等
不一一跑了，基本MD5都可以查到
900多个账号，应该是企业账号吧
本次测试账号： baixa wyn325405 找了好久才找到。
漏洞证明：
修复方案：
重视下安全吧
版权声明：转载请注明来源 东方不败@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：12
确认时间：2015-04-23 08:25
厂商回复：
CNVD确认并复现所述情况,已经转由CNCERT下发给浙江分中心,由其后续尝试联系网站管理单位处置.
最新状态：
暂无