漏洞详情

披露状态:

2014-01-22: 细节已通知厂商并且等待厂商处理中
2014-01-27: 厂商已经确认,细节仅向厂商公开
2014-01-30: 细节向第三方安全合作伙伴开放
2014-02-06: 细节向核心白帽子及相关领域专家公开
2014-02-16: 细节向普通白帽子公开
2014-03-08: 细节向实习白帽子公开
2014-04-22: 细节向公众公开

简要描述:

某通用型全国公路建设市场信用信息管理系统存在SQL注入,影响多个gov站点。

详细说明:

总站点:

http://glxy.mot.gov.cn/BM/index.html



这是全国公路建设市场信用信息管理系统的总站。

存在注入的地方:

http://glxy.mot.gov.cn/BM/CreditAction_corpList.do?corpcode=71752305-2



如图,此处存在多处SQL注入。

1.png



加单引号,报错:

2.png



闭合单引号,正常:

3.png





受影响的其他省市gov站点:

在主站的相关链接中:

4.png



经测试,上面的大多数站点都是使用跟主站同样的系统,存在同样的SQL注入。

如北京市公路建设市场信用信息管理系统:

5.png



西藏自治区公路建设市场信用信息管理系统:

6.png





从上面可以看出使用了:全国信用统一版本——v2011.7.15版本。



还有其他多处都存在注入。

漏洞证明:

如详细说明。

0.png

修复方案:

过滤下

版权声明:转载请注明来源 xfkxfk@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:16

确认时间:2014-01-27 09:06

厂商回复:

CNVD确认并复现所述情况,根据工具测试,暂未能注入得到详细的表和字段内容,暂未进行手动注入测试。转由CNCERT下发各省分中心处置。

最新状态:

暂无


漏洞评价: