[公开漏洞]湖北省某政务公开网SQL注入漏洞可影响大量下属机构

湖北省某政务公开网SQL注入漏洞可影响大量下属机构 相关厂商： 湖北省某政务公开网 漏洞作者：爱上襄阳 提交时间：2014-05-20 18:09 公开时间：2014-07-04 18:10 漏洞类型：SQL注射漏洞 危害等级：高 自评Rank：10 漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理 漏洞来源：http://www.wooyun.org Tags标签： 字符类型注射 漏洞详情 披露状态：

2014-05-20：细节已通知厂商并且等待厂商处理中
2014-05-25：厂商已经确认，细节仅向厂商公开
2014-06-04：细节向核心白帽子及相关领域专家公开
2014-06-14：细节向普通白帽子公开
2014-06-24：细节向实习白帽子公开
2014-07-04：细节向公众公开

简要描述：

湖北省某政务公开网SQL注入漏洞可影响大量下属机构

详细说明：

湖北省财政与编制政务公开网SQL注入影响上百站点，包括湖北省各个县市的财政与编制政务公开网

SQL注入点：

http://www.hbcz.gov.cn:8080/arkcms/guestbook/index.jsp?siteID=8a8080820b78cd84010b79331b92001e

Table: CMS_USER_USER

[12 columns]

+------------------+----------+

| Column | Type |

+------------------+----------+

| USER_A_TEL | VARCHAR2 |

| USER_B_TEL | VARCHAR2 |

| USER_CJSJ | DATE |

| USER_DESCRIPTION | VARCHAR2 |

| USER_EMAIL | VARCHAR2 |

| USER_ID | VARCHAR2 |

| USER_MSN | VARCHAR2 |

| USER_NAME | VARCHAR2 |

| USER_PASSWORD | VARCHAR2 |

| USER_QQ | VARCHAR2 |

| USER_XGSJ | DATE |

| USER_XM | VARCHAR2 |

+------------------+----------+



通过此注入点最终获取到后台登录用户464个，影响的站点至少有上百

漏洞证明：

襄阳财政与编制政务公开网

武汉财政与编制政务公开网

宜昌财政与编制政务公开网

影响的站点：

修复方案：

过滤

版权声明：转载请注明来源 爱上襄阳@乌云 漏洞回应 厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2014-05-25 14:16

厂商回复：

CNVD确认并复现所述情况，转由CNCERT下发湖北分中心通报处置。

最新状态：

暂无