漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0160848
漏洞标题：华南农业大学某管理信息系统SQL注入后台密码明文储存
相关厂商：华南农业大学
漏洞作者： 路人甲
提交时间：2015-12-17 22:10
修复时间：2015-12-22 22:12
公开时间：2015-12-22 22:12
漏洞类型：SQL注射漏洞
危害等级：中
自评Rank：5
漏洞状态：已交由第三方合作机构(CCERT教育网应急响应组)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-12-17： 细节已通知厂商并且等待厂商处理中
2015-12-22： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
后台密码明文储存，可以查看各大供应商的中标，合同查询修改等信息
详细说明：
注入点：**.**.**.**:8181/NoticeView.aspx?NoticeGuid=7722098d-8857-4dab-b8f8-4c41f8def93a
直接丢sqlmap，直接爆出数据库
看看当前在那个库，跟着不多说，看图
密码明文储存
明文密码就简单了，而且是全数字，非常不安全
漏洞证明：
都等登陆了，可以证明了吧
修复方案：
过滤，装个安全软件，最好密码强度高点，还要加密储存
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2015-12-22 22:12
厂商回复：
最新状态：
暂无