当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0126979

漏洞标题：黑龙江省政协主站存在SQL注入

相关厂商：cncert国家互联网应急中心

漏洞作者： eti

提交时间：2015-07-15 17:33

修复时间：2015-08-31 16:26

公开时间：2015-08-31 16:26

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：12

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-07-15： 细节已通知厂商并且等待厂商处理中
2015-07-17： 厂商已经确认，细节仅向厂商公开
2015-07-27： 细节向核心白帽子及相关领域专家公开
2015-08-06： 细节向普通白帽子公开
2015-08-16： 细节向实习白帽子公开
2015-08-31： 细节向公众公开

简要描述：

详细说明：

POST /shsb/ HTTP/1.1
Content-Length: 695
Content-Type: application/x-www-form-urlencoded
X-Requested-With: XMLHttpRequest
Referer: http://www.hljzx.gov.cn:80/
Cookie: ASP.NET_SessionId=k3wo4h3gldaryafbrtdlrnzj; FrameWork_YOYO_dw-MessageValue=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; userName=name=513663
Host: www.hljzx.gov.cn
Connection: Keep-alive
Accept-Encoding: gzip,deflate
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/28.0.1500.63 Safari/537.36
Accept: */*
btnsearch=%cb%d1%cb%f7&txtconent=1&txttitle=NzY7p0ly&txtuser=qcvppbtb&__EVENTARGUMENT=&__EVENTTARGET=&__EVENTVALIDATION=UC4lziLQE8eNI%2buEBYfewB/bM3sc2cx9UsyhohuJ%2be2p3fTAkkrVKQR4cqtCP4NCcQ7oDGxeuTuglw2CIja0egQksr3c5P%2bfAATZLg8IIB7y9jo8miMlYgyWYuK3idw5lZ7anVrZfVj4wQ5Tj363meccEhOu%2buB%2bguZf1wLxMOZnH3j9&__VIEWSTATE=gIYxOPuTBlx5xuCv/i00vCepf4c3UtSYvA8FP/bYVOhm4uThcvj/1cXTreumXw3QVsFPQy8HlbFsrBT/T1Q2wwYqe13wqTGOKVbr4ZqGIOw5xjLCsWVFwR9B1Rn%2b9KRNf2oEjvz%2bMP7QqpjQfYlSyDK5pZgc9c3/0zJMJ9nGByclNVG2h/Lpq5Kp5VtDfDKQb6usLGZ1Z/X3Wlm5S0VDCt9okDVGUuuKdqgKko5RCIseSGynKuPntki60VC7AcSvOsvK9q06%2bzdZrP295DC37mPb0FWjN0O87priejY4y8dToBAvs6eoj1mrnJRyjhXKwcmvjw%3d%3d

txttitle参数

漏洞证明：

1.png

11个库：

2.png

修复方案：

版权声明：转载请注明来源 eti@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2015-07-17 16:24

厂商回复：

CNVD确认所述情况，已经转由CNCERT下发给黑龙江分中心，由其后续协调网站管理单位处置。

最新状态：

暂无

漏洞评价：

评论