基金安全之广发基金主站某漏洞导致影响多个数据库(涉及大量网站数据)

http://www.gffunds.com.cn/etfpcf/etf_pcf_qzny_txt.jsp?fundcode=159945&tdate=2015-07-17注入点：fundcode=

多个库：

当前库：

简单读了下用户库，差不多70W的用户数据

还有其他库，应该也有涉及用户的，不读了，就这样吧！！！

@@

厂商回应：

危害等级：低

漏洞Rank：5

确认时间：2015-07-2009:01

厂商回复：

已确认受影响的表中并不含有用户数据，而是产品信息公开发布的数据，我司将尽快修复此问题，感谢您的报告。

最新状态：

暂无

1. 2010-01-01 00:00 管管侠 白帽子 | Rank:1623 漏洞数:136)

   @@,这个可是主站SQL注入，我特意把标题写的这么模糊，就给我五分，是跟另一家基金商量好的？不玩大分真低

2. 2010-01-01 00:00 茜茜公主 白帽子 | Rank:899 漏洞数:85)

   原来基金系列是管管侠发的

3. 2010-01-01 00:00 管管侠 白帽子 | Rank:1623 漏洞数:136)

   受影响的不是单指那一个表好吧，是全库好吧，主站

4. 2010-01-01 00:00 http://www.wooyun.org/corps/广发基金管理有限公司 白帽子 | Rank:0 漏洞数:0)

   @管管侠 感谢您的回复，受影响的是一个发布信息专用的用户，专用于生成网站上发布的公开清单，只具有相关提供公开信息的数据表的只读权限，并非全库。

5. 2010-01-01 00:00 浩天 白帽子 | Rank:851 漏洞数:68)

   5分低了

6. 2010-01-01 00:00 http://www.wooyun.org/corps/广发基金管理有限公司 白帽子 | Rank:0 漏洞数:0)

   @浩天 感谢您的关注，作为我个人来说（不代表公司），考虑到白帽子们挖洞辛苦，我在乌云平台上都是参照评分标准尽量给高分，您可查看我其他的给分记录。此次确实没有影响到非公开数据表，已给到相应等级的最高分。

7. 2010-01-01 00:00 李叫兽就四李叫兽 白帽子 | Rank:0 漏洞数:0)

   你倒霉了！