漏洞详情

披露状态:

2014-05-18: 细节已通知厂商并且等待厂商处理中
2014-05-23: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

呵呵

详细说明:

WooYun: 中国电信某分站存在SQL注射漏洞 部分数据泄漏 与这个洞的注入点不同,可以看出他的截图中的表名,跟我跑出来的表名不一样,管理员请别重复ID导致忽略!3Q!



1.注入点(具体的数据没跑,只跑了一个表就有十多万数据了,目测数据不少于三十万!)

http://sc.118100.cn/earthsound//songer.php?id=11



sql.jpg





2.爆路径



http://sc.118100.cn/Business/
http://sc.118100.cn/middle.php
http://sc.118100.cn/Space.php





3.前人木马



http://sc.118100.cn/MySql.php(这位黑阔...你能低调点吗?)
http://sc.118100.cn/aimu.php (这个疑似一句话木马,爆破了好久爆破不出密码,字典不够强悍?)





漏洞证明:

详细说明

修复方案:

你们懂的!!建议全面清理下服务器!!

版权声明:转载请注明来源 Mosuan@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2014-05-18 10:03

厂商回复:

最新状态:

2014-05-23:CNVD确认并复现所述情况,已经在19日转由CNCERT直接通报给中国电信集团公司处置。


漏洞评价: