某智慧校园平台系统SQL注射15枚打包(Sa权限)

漏洞概要关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0132447

漏洞标题：某智慧校园平台系统SQL注射15枚打包(Sa权限)

漏洞作者：路人甲

提交时间：2015-08-13 13:54

修复时间：2015-11-12 16:06

公开时间：2015-11-12 16:06

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签：无

4人收藏收藏
分享漏洞：

漏洞详情

披露状态：

2015-08-13：细节已通知厂商并且等待厂商处理中
2015-08-14： cncert国家互联网应急中心暂未能联系到相关单位，细节仅向通报机构公开
2015-08-17：细节向第三方安全合作伙伴开放
2015-10-08：细节向核心白帽子及相关领域专家公开
2015-10-18：细节向普通白帽子公开
2015-10-28：细节向实习白帽子公开
2015-11-12：细节向公众公开

简要描述：

只发一次

详细说明：

产品：绿橄榄智慧校园平台
架构：Mssql+ASP（ASPX）+IIS
厂商：上海复尧计算机科技有限公司
说明：产品有asp、aspx版的，但是注入点都是一样的，及时你看到case里有aspx的，测试的时候无需将漏洞页面改为aspx。主要是简单测试，希望cncert转厂商修复，其它人请勿恶意使用否则后果自负。
SQL Injection:

1、/cjcx/jiaoshi/main/hongbang.asp?jlmc=1                         报错形式注入
2、/cjcx/jiaoshi/main/jiaoliuwzxs.asp?xm=112                      报错或盲注
3、/cjcx/xuesheng/main/ggl1.asp?NEWID=1                           时间盲注
4、/cjcx/jhzj1/3.asp?yy=1                                         时间盲注
5、/cjcx/yqjl/del1.asp?id=1                                       时间盲注
6、/cjcx/jhzj1/mulu1.asp?newsid=1                                 时间盲注
7、/cjcx/yqjl/yd.asp?id=1          	                          报错注入
8、/cjcx/xingzhenggl/xwc/quanxiansheze1.asp?id=1&page=1           id时间或bool盲注
9、/cjcx/kagx/main2.asp?id=1&xqmc=1                               id时间盲注
10、/cjcx/xuesheng/main/textbox1.asp?NEWID=8818                   布尔/时间盲注
11、/cjcx/fankuixinxi/up.asp?id=1                                 报错注入
12、/cjcx/kagx/pj_eof.asp?newsid=1&ktlx1=%1&jas=&rq=              newsid时间盲注
13、/cjcx/bkxt/index5.asp?newsid=1                                时间盲注
14、/cjcx/kagx/main3.asp?rjxk=1&xqmc=1&jsxm=&mc=&ktlx=&page=      多个参数时间盲注
15、/cjcx/bkxt/up4.asp                                            newsid报错注入
POST数据：jlh=1&hc=checkbox&edit=1&newsid=1

Case:

http://**.**.**.**/cjcx/index.asp
**.**.**.**/cjcx/index1.asp
http://**.**.**.**/cjcx/index1.asp
http://**.**.**.**/cjcx/index.asp
http://**.**.**.**/cjcx/index1.asp
http://**.**.**.**:8000/cjcx/index.aspx
http://**.**.**.**/cjcx/index1.asp
**.**.**.**:8010/cjcx/default.aspx
http://**.**.**.**:8000/cjcx/index.aspx
http://**.**.**.**/cjcx/
http://**.**.**.**/cjcx/index.asp
**.**.**.**:8000/cjcx/index.aspx
**.**.**.**:15580/cjcx/default.aspx
http://**.**.**.**/cjcx/
http://**.**.**.**:8000/cjcx/index.aspx  
http://**.**.**.**/cjcx/index1.asp
http://**.**.**.**/cjcx/index1.asp
**.**.**.**/cjcx/index1.asp 
http://**.**.**.**/cjcx/index1.asp 
http://**.**.**.**/cjcx/index1.asp
http://**.**.**.**/cjcx/index1.asp
http://**.**.**.**/cjcx/index1.asp
http://**.**.**.**:8000/cjcx/index.aspx
http://**.**.**.**/cjcx/index1.asp
http://**.**.**.**/cjcx/index1.asp
http://**.**.**.**/cjcx/index1.asp
http://**.**.**.**:8082/cjcx/index1.asp

漏洞证明：

Security Testing:
【注:请使用firefox禁用Javascript再进行测试或者sqlmap自动化测试漏洞】
时间盲注的测试Payload: WAITFOR DELAY '0:0:5'--
随机挑选案例测试：

1、/cjcx/jiaoshi/main/hongbang.asp?jlmc=1



2、/cjcx/jiaoshi/main/jiaoliuwzxs.asp?xm=112 





3、/cjcx/xuesheng/main/ggl1.asp?NEWID=1










4、/cjcx/jiaoshi/main/hongbang.asp?jlmc=1





5、/cjcx/yqjl/del1.asp?id=1





6、/cjcx/jhzj1/mulu1.asp?newsid=1 










7、/cjcx/yqjl/yd.asp?id=1





8、/cjcx/xingzhenggl/xwc/quanxiansheze1.asp?id=1&page=1





9、/cjcx/kagx/main2.asp?id=1





10、/cjcx/xuesheng/main/textbox1.asp?NEWID=8818 





11、/cjcx/fankuixinxi/up.asp?id=1 





12、/cjcx/kagx/pj_eof.asp?newsid=1&ktlx1=%1&jas=&rq=  





13、/cjcx/bkxt/index5.asp?newsid=1










14、/cjcx/kagx/main3.asp?rjxk=1&xqmc=1&jsxm=&mc=&ktlx=&page=










15、/cjcx/bkxt/up4.asp