记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

万户OA某文件未授权访问导致SQL注入(N个政府单位中枪)

2014-12-01 02:42

万户OA某版本未授权访问导致通用型注入,涉及多个政府网站、及大型企业。



该文件 defaultroot/mobile/setting/setPersonInfo.jsp没有做任何限制,无需登录,可直接访问,该文件参数未做功率,导致SQL注入,详情看图吧。。



有很多网站的OA都是内网的,我测不了,找了几个外网的,做了测试,都存在问题。



该例子中只例举普陀市中心医院,有一部分是客户,不方便直接发,自行测试吧。

漏洞证明:

普陀市中心医院



http://www.sptdch.cn:7001/defaultroot/mobile/setting/setPersonInfo.jsp



该文件无需登录,可直接访问



defaultroot/mobile/setting/setPersonInfo.jsp



11.jpg





该页面某些参数都做了隐藏,删除隐藏属性。。直接填写内容



22.jpg





而且,该页面未对setpers_UserAccounts、setpers_EmpEnglishName、setpers_EmpMobilePhone等参数做过滤,导致SQL注入



33.jpg





剩下的不截图了。。。自行测试吧。。

修复方案:

常规修复而已,你们懂~

知识来源: www.wooyun.org/bugs/wooyun-2014-074641

阅读:125451 | 评论:0 | 标签:注入

想收藏或者和大家分享这篇好文章→复制链接地址

“万户OA某文件未授权访问导致SQL注入(N个政府单位中枪)”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

关注公众号hackdig,学习最新黑客技术

推广

工具

标签云