某通用型政府电子采购系统多处SQL注入

漏洞详情

披露状态:

2014-01-24: 细节已通知厂商并且等待厂商处理中
2014-01-29: 厂商已经确认,细节仅向厂商公开
2014-02-01: 细节向第三方安全合作伙伴开放
2014-02-08: 细节向核心白帽子及相关领域专家公开
2014-02-18: 细节向普通白帽子公开
2014-03-10: 细节向实习白帽子公开
2014-04-24: 细节向公众公开

简要描述:

某通用型政府电子采购系统,存在多处SQL注入,可获得多个数据库。

详细说明:

此电子采购系统是一套通用型的系统。

有多个平台,包括,企业,政府,高效,金融等各行各业平台。

这里仅测试了政府电子采购系统。



此电子采购系统平台官网:

http://www.xinyuan.com.cn/



案例:

1.png





我们那河南政府采购网为例:

http://www.hngp.gov.cn



2.png



上述案例中的政府采购网的框架同河南政府采购网一致。



第一处注入点:http://www.hngp.gov.cn/xygh/cx/xyindexserch.html?webappcode=H60&keyword=123



参数webappcode和keyword都存在注入。

这里的数据库是oracle的。

3.png



报错。

4.png



正常。



放到Sqlmap跑一下:

5.png



数据库:

6.png



这些数据库的每一个库里面的表都很多,数据量很大。

跑了一上午一个库的表还没有跑完,这里列出数据库“HNCG”中的一部分表:

7.png





第二处注入点:http://www.hngp.gov.cn/xygh/egp/jd/dljg/dljgxx/ListDljg,$DirectLink.direct?sp=S1&sp=S00390019



a.png



剩下的databases和tables就不在依依列举了。



还有其他注入点。

漏洞证明:

见详细说明

修复方案:

过滤

版权声明:转载请注明来源 xfkxfk@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:11

确认时间:2014-01-29 09:35

厂商回复:

CNVD在所述案例上复现SQL注入漏洞,但未能确认其通用性(实测其他案例并不存在),如后续白帽子可确认通用性,也请补充相关实例。转由CNCERT下发给河南分中心处置。

最新状态:

暂无


漏洞评价: