东航招聘SQL注入

漏洞概要

缺陷编号:WooYun-2012-05879

漏洞标题:东航招聘SQL注入

相关厂商:东方航空

漏洞作者:Supx

提交时间:2012-04-11 11:24

公开时间:2012-05-24 11:24

漏洞类型:SQL注射漏洞

危害等级:中

自评Rank:10

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

Tags标签:

漏洞详情

披露状态:

2012-04-11: 细节已通知厂商并且等待厂商处理中
2012-04-10: 厂商已经确认,细节仅向厂商公开
2012-04-20: 细节向核心白帽子及相关领域专家公开
2012-04-30: 细节向普通白帽子公开
2012-05-10: 细节向实习白帽子公开
2012-05-24: 细节向公众公开

简要描述:

典型的SQL注入,没什么技术含量但是信息量挺多。已经向厂商直接反应过2次了,没有任何反应。

详细说明:

应聘者的密码是明文的储存的,共1.4万个应聘者账号。站点:http://**.**.**.**/default.aspx注入点:http://**.**.**.**/activedeta.aspx?active_id=99' and 1=1--注入点在页面上的位置:

注入点本身不需要登入,页面上的位置需要登入。

漏洞证明:

应聘者账号:表名INFO_LOGIN

管理员账号:表名TBL_ZPADMIN

修复方案:

漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2012-04-10 17:32

厂商回复:

CNVD确认注入点并复现所述过程,网站采用了内部人员还是采用了一定的加密存储措施。由于涉及信息泄露风险,将向民航主管部门(中国民航总局)协调处置。对该漏洞评分如下:
CVSS评分:(AV:R/AC:L/Au:NR/C:C/A:N/I:N/B:N) Score:7.79(最高10分,高危)
即:远程攻击、攻击难度低、不需要用户认证,对机密性造成完全影响,不影响可用性和完整性。技术难度系数:1.0(一般)
影响危害系数:1.3(较严重,危及用户私密信息)综合评分:7.79*1.0*1.3=10.127

最新状态:

暂无

评价

  1. 2010-01-01 00:00 http://www.wooyun.org/corps/cncert国家互联网应急中心 白帽子 | Rank:0 漏洞数:0)

    根据图片已经可以确认,还需要一段时间进行复现,差不多完成后确认。

  2. 2010-01-01 00:00 http://www.wooyun.org/corps/cncert国家互联网应急中心 白帽子 | Rank:0 漏洞数:0)

    算出来的分竟然和自评rank一样,纯属巧合。

  3. 2010-01-01 00:00 Supx 白帽子 | Rank:10 漏洞数:2)

    @cncert国家互联网应急中心 根据你们以往的评分标准来算,自评还是很容易一样的...