漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0153592
漏洞标题：大浙网与腾讯合作站点存在SQL注入可登若干管理后台
相关厂商：大浙网
漏洞作者： 子墨
提交时间：2015-11-11 16:52
修复时间：2015-12-26 16:54
公开时间：2015-12-26 16:54
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：15
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-11-11： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-12-26： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
双11没去给马总贡献，去某地方站看看相关新闻吧，于是就手贱了一下 ...
详细说明：
注入点：http://vip.zjqq.mobi/index.php/vote/voteList?id=271
显示有十个数据库，用sqlmap不太顺手，抄起胡萝卜，对着最像用户信息的“vip”数据库一阵脱拉，哗啦啦，105个用户信息一览无遗
挑了两个账号，破解了md5，登陆相关系统：
用户名zoehe@dazwang.com 密码tw19821122
用户名garrywang@dazwang.com 密码WANGGANG12A
漏洞证明：
账号系统：
财务管理后台：
企业邮箱：
组织架构：
媒体开放平台(大浙财经)：
修复方案：
邮箱里面有很多敏感信息，未授权就不进一步渗透了，相信如果有耐心有时间，进内网不是件特别难的事 ...
版权声明：转载请注明来源 子墨@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝