大量政府站sql注入漏洞打包

漏洞详情

披露状态:

2014-03-14: 细节已通知厂商并且等待厂商处理中
2014-03-20: 厂商已经确认,细节仅向厂商公开
2014-03-30: 细节向核心白帽子及相关领域专家公开
2014-04-09: 细节向普通白帽子公开
2014-04-19: 细节向实习白帽子公开
2014-04-28: 细节向公众公开

简要描述:

在黑榜(hack-cn)看到有位大牛提交了好多gov.cn的政府站就前去看下没想到都是用的dedecms后台也是默认的dede最近新出来的dede sql注入 然后你懂得

详细说明:

总之就是利用默认后台加上最新的dedecms注入然后解密md5就可以登录后台拿到shell





地址:

http://www.masrfb.gov.cn/

http://sz120.ahsz.gov.cn/

http://www.wdqgtzy.gov.cn/

http://www.bbjj.gov.cn/

http://www.wjfy.gov.cn/

http://www.fygh.gov.cn/

http://www.cnjt.gov.cn/

http://www.nmhnhbj.gov.cn

http://www.bjgy.gov.cn/

http://lib.zzti.edu.cn/

http://www.nanzhang.jcy.gov.cn/

http://jsj.beichuan.gov.cn/

http://wwkjj.ww.gov.cn/

http://www.qznyw.gov.cn/

http://txx.gov.cn/

- -不是本人所为,谢绝水表

漏洞证明:

QQ图片20140314194408.jpg





QQ图片20140314194126.jpg



QQ图片20140314193648.jpg



QQ图片20140314193617.jpg





QQ图片20140314193529.jpg



QQ图片20140314193450.jpg



QQ图片20140314193413.jpg



QQ图片20140314193342.jpg



拿shell就不演示了





修复方案:

升级dede版本;

修改后台地址

版权声明:转载请注明来源 3yst1m@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:18

确认时间:2014-03-20 22:46

厂商回复:

已经下发给所述对应的多个分中心(重点先处置地市级网站),按多个通用软件漏洞案例进行评分,rank 18

最新状态:

暂无


漏洞评价: