漏洞概要 关注数(24) 关注此漏洞
>
漏洞详情
披露状态：
2012-04-09： 细节已通知厂商并且等待厂商处理中
2012-04-10： 厂商已经确认，细节仅向厂商公开
2012-04-20： 细节向核心白帽子及相关领域专家公开
2012-04-30： 细节向普通白帽子公开
2012-05-10： 细节向实习白帽子公开
2012-05-24： 细节向公众公开
简要描述：
典型的SQL注入，没什么技术含量但是信息量挺多。已经向厂商直接反应过2次了，没有任何反应。
详细说明：
应聘者的密码是明文的储存的，共1.4万个应聘者账号。
站点：http://zhaopin.ceair.com/default.aspx
注入点：http://zhaopin.ceair.com/activedeta.aspx?active_id=99' and 1=1--
注入点在页面上的位置：
注入点本身不需要登入，页面上的位置需要登入。
漏洞证明：
应聘者账号：表名INFO_LOGIN
管理员账号：表名TBL_ZPADMIN
修复方案：
版权声明：转载请注明来源 Supx@乌云
>
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2012-04-10 17:32
厂商回复：
CNVD确认注入点并复现所述过程，网站采用了内部人员还是采用了一定的加密存储措施。由于涉及信息泄露风险，将向民航主管部门（中国民航总局）协调处置。
对该漏洞评分如下：
CVSS评分：(AV:R/AC:L/Au:NR/C:C/A:N/I:N/B:N) Score:7.79（最高10分，高危)
即：远程攻击、攻击难度低、不需要用户认证，对机密性造成完全影响，不影响可用性和完整性。
技术难度系数：1.0(一般)
影响危害系数：1.3(较严重，危及用户私密信息）
综合评分：7.79*1.0*1.3=10.127
最新状态：
暂无