[公开漏洞]Chinajoy官网SQL注入漏洞

Chinajoy官网SQL注入漏洞 相关厂商： Chinajoy 漏洞作者：限制关键词 提交时间：2014-04-30 11:25 公开时间：2014-06-14 11:25 漏洞类型：SQL注射漏洞 危害等级：高 自评Rank：12 漏洞状态： 未联系到厂商或者厂商积极忽略 漏洞来源：http://www.wooyun.org Tags标签： 第三方不可信程序 漏洞详情 披露状态：

2014-04-30：积极联系厂商并且等待厂商认领中，细节不对外公开
2014-06-14：厂商已经主动忽略漏洞，细节向公众公开

简要描述：

SQL注入.通用型CMS漏洞,同服的其他站也存在SQL注入.

详细说明：

SQL注入.通用型CMS漏洞,同服的其他站也存在SQL注入.

比如http://www.wmgc.cn/

http://2014.chinajoy.net/Downloads.aspx?DID=57&PID=56 (GET)



web server operating system: Windows 2008 R2 or 7

web application technology: ASP.NET, Microsoft IIS 7.5, ASP.NET 2.0.50727

back-end DBMS: Microsoft SQL Server 2008

available databases [12]:

[*] CGBC

[*] CGDC

[*] ChinaJoy

[*] master

[*] model

[*] msdb

[*] ReportServer

[*] ReportServerTempDB

[*] Synair_CEP

[*] Synair_CEP_2

[*] tempdb

[*] WMGC

漏洞证明：

修复方案：

这套CMS就有问题.过滤用户可控的参数.

版权声明：转载请注明来源 限制关键词@乌云 漏洞回应 厂商回应：

未能联系到厂商或者厂商积极拒绝