漏洞详情

披露状态:

2014-08-04: 细节已通知厂商并且等待厂商处理中
2014-08-09: 厂商已经确认,细节仅向厂商公开
2014-08-12: 细节向第三方安全合作伙伴开放
2014-10-03: 细节向核心白帽子及相关领域专家公开
2014-10-13: 细节向普通白帽子公开
2014-10-23: 细节向实习白帽子公开
2014-11-02: 细节向公众公开

简要描述:

大量省份交通厅都在用、包括整个江西省、超多的数据表、SA权限、造成的危害太严重了
求走大厂商啊。。。

详细说明:

发现未通过说没有复现成功,又重新编辑了下再审核下吧。。。
相关厂商

江西顶点科技发展有限公司,是一家专注服务于交通建设领域的国有软件企业


官网

http://www.acme-soft.cn/


谷歌搜索关键字

inurl:WebUI/Article_Show.aspx


1.jpg


注入点
1.江西寻全高速公路网

http://www.jxxqgsgl.com/WebUI/Article_Show.aspx?DocID=T201111231558085810000194


jx1.jpg


jx2.jpg


2.江西万宜高速公路网

http://www.wygsgl.com:9191/WebUI/Article_Show.aspx?DocID=T201407250944374710000194


4.jpg


5.jpg


3.江西省高速公路投资集团有限责任公司金溪至抚州高速公路建设项目办公室

http://jfgs.jxjtzx.com:9494/WebUI/Article_Show.aspx?DocID=T201406051854485510000375


6.jpg


7.jpg


4.江西高速公路网

http://www.jxgsgl.com/WebUI/Article_Show.aspx?DocID=T201406200805416510000738


5.江西萍洪高速公路网

http://www.jxphgs.com/WebUI/Article_Show.aspx?DocID=T201312301954321010001350

漏洞证明:

由于数据表太多,所以没有完全列出
1.江西寻全高速公路网

jxxqgsgl2.jpg


jxxqgsgl1.jpg


jxxqgsgl3.jpg


2.江西省高速公路投资集团有限责任公司金溪至抚州高速公路建设项目办公室

jxjtzx2.jpg


jxjtzx1.jpg


jxjtzx3.jpg


等等。。。

修复方案:

过滤

标签: none

评论已关闭