漏洞详情

披露状态:

2014-03-25: 细节已通知厂商并且等待厂商处理中
2014-03-25: 厂商已经确认,细节仅向厂商公开
2014-04-04: 细节向核心白帽子及相关领域专家公开
2014-04-14: 细节向普通白帽子公开
2014-04-24: 细节向实习白帽子公开
2014-05-09: 细节向公众公开

简要描述:

SQL注入

详细说明:

北京易普拉格科技有限责任公司 开发的 科研管理系统



用户:几十家高校及其他企业 (下面的列表未列全)



漏洞存在于 business/notifyView.jsp?notifyId=2 这个文件、



notifyId 采用拼接SQL语句,导致注入产生



http://kyc.ynnu.edu.cn/business/notifyView.jsp?notifyId=1 云南师范大学科研信息网

http://218.7.123.164/business/notifyView.jsp?notifyId=2 佳木斯大学科研管理系统

http://yk.cueb.edu.cn/business/notifyView.jsp?notifyId=1 首都经济贸易大学研究生项目与成果管理系统

http://202.114.177.182/business/notifyView.jsp?notifyId=1 湖北工业大学科研管理系统

http://210.40.3.16/business/notifyView.jsp?notifyId=1 贵州大学人文社科科研管理系统

http://119.97.184.242:8080/business/notifyView.jsp?notifyId=1 湖北财税职业学院科研管理系统

http://kyglsk.shnu.edu.cn/business/notifyView.jsp?notifyId=1 上海师范大学科研管理系统

http://rms.njit.edu.cn/business/notifyView.jsp?notifyId=1 南京工程学院科研管理系统

http://kygl.gdqy.edu.cn/business/notifyView.jsp?notifyId=1 广东轻工职业技术学院科研管理系统

http://211.67.143.15/business/notifyView.jsp?notifyId=1 河南财经政法大学科研管理系统

http://202.113.244.51/business/notifyView.jsp?notifyId=1 天津职业技术师范大学科研管理系统

http://202.115.67.43/business/notifyView.jsp?notifyId=1 西南交通大学科研管理系统

http://210.26.80.98/business/notifyView.jsp?notifyId=1 甘肃中医学院科研管理系统

http://210.45.168.61/business/notifyView.jsp?notifyId=1 安庆师范学院科研管理系统

http://219.229.222.51/business/notifyView.jsp?notifyId=1 江西农业大学科研管理系统

http://keyan.shufe.edu.cn/business/notifyView.jsp?notifyId=1 上海财经大学科研与项目管理系统

http://kjc.swun.edu.cn/business/notifyView.jsp?notifyId=1 西南民族大学科研管理系统

http://210.26.64.161/business/notifyView.jsp?notifyId=1 甘肃政法学院科研管理系统

http://kyc.xzmy.edu.cn/business/notifyView.jsp?notifyId=1 西藏民族学院科研管理系统

http://219.246.16.38/business/notifyView.jsp?notifyId=1 兰州城市学院科研管理系统

http://fsxy.mnu.cn/business/notifyView.jsp?notifyId=1 绵羊师范学院科研管理系统

http://202.195.69.154/business/notifyView.jsp?notifyId=1 江苏师范大学科研管理系统

http://202.203.194.6/business/notifyView.jsp?notifyId=1 云南财经大学科研管理系统

http://61.139.105.156/business/notifyView.jsp?notifyId=1 四川理工学院科研管理系统

http://124.205.136.216/business/notifyView.jsp?notifyId=1 中日友好医院科研管理系统

http://222.197.183.68/business/notifyView.jsp?notifyId=1 电子科技大学科研管理系统

http://59.72.0.2/business/notifyView.jsp?notifyId=1 吉林大学社科处科研管理系统



直接加单引号:

1.jpg





1.jpg

漏洞证明:

1.jpg





1.jpg

修复方案:

用占位符吧、、拼SQL语句也要过滤下

版权声明:转载请注明来源 sex is not show@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:5

确认时间:2014-03-25 15:37

厂商回复:

这个注入对应的查询资源是不受权限管理的。同时被注入的SQL非原生SQL而是hibernate的HQL,不会导致服务器安全隐患。

最新状态:

暂无


漏洞评价: