正方教务系统sql注射漏洞

文章转载自：http://www.myhack58.com/Article/html/3/62/2012/34487.htm

事先申明啊，本帖仅做学术交流以及安全检测之用，弟弟妹妹们不要拿来干坏事。
7 z3 e# r: t& h. t/ V' D; O3 ?7 X
也不知道我们学校的有没有把这漏洞补上。

教室查询页面貌似暑假打不开，不过其他地方今天检查了一下，貌似没看到注入漏洞。
9 ~2 l; g$ J( _1 a( n

3 x9 g/ `0 D3 H' L! A# p$ _  t+ |
你还再为考试挂科而烦恼么，你还再为大学里怎么要妹子电话而纠结么，你想快速找到学校里的漂亮妹子么，那么请看下文
% T4 n. J# Q4 i; U" J1.
9 A8 Q, Q% F: o! L* T" _教室查询处有sql注射，如图

, ?5 o  `/ y) c6 ~1 union select NULL,owner from all_tables 爆出数据库
2.
$ R, O, t; k3 ], z% Q" [" ?找回密码存在sql注射
验证方式为本地javascript验证，服务端未做验证，可爆出第一个用户（管理员密码）
" k- q1 Z, ?7 ]0 f% i$ \
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
首先通过sql注射查处老师登录帐号密码（顺便吐槽下，这代码命名也不规范，表，字段名字尽是xyz,xsz之类的，密码加密也是用的可逆的方式，而且还是自己写的加密算法，或者那个不能叫做加密算法，就是简单的字符串变换）
* b- u# _- O2 I' @这个sql注射，他的教师登录的帐号密码存放在yhb这个表里，几个主要字段kl密码js:部门类别yhm：UID kl:口令xm:姓名 szdw：院系
1 union select NULL,js||’ ‘||szdw||’ ‘||xm||’ ‘||yhm||’ ‘||kl 搞到所有老师帐号密码，院系类别啥的
* |& K, _/ g! M6 @' v. C
看到查询的kl为变换后的字符串，就用Reflector翻了下dll，找到了加密方法
6 e: \& l, f# M1 ?, n  t5 |  Y: b
然后又找到了解密的方法，花了用.net画了个框（.net画框真的很快），copy一下解密方法
. u4 ^$ p7 N6 K8 m( A
# l  U7 l  G5 o: l$ Y) F到目前为止，我们就已经能都登入所有管理人员（老师，部门的帐号），所以我们用管理员帐号登入，可以查看所有童鞋（包括妹子）信息（电话，住址，pp啥的）
" v5 V) z& v" Z4 l, Q& r& ~
那么你就可以实现在如下境界：在校园里面看上一个妹子，立马可以查到她信息，晚上没事去打打骚扰电话啥的。
然后还可以配合http://www.wooyun.org/bugs/wooyun-2010-03823，或者自己读读代码，找那个添加成绩的密码，改改成绩啥的

4 s8 L/ B5 P: O' a# N修复方案：
1、对所有输入进行过滤，限制
2、密码最好不采用可逆的方式存储，而且那个key不要直接编译在dll里面，所有的key都是一样的，放在Web.config里面
0 Z6 N  m$ c0 V& x5 ^& ]​

这个真不会了

休眠的翅膀: 这个真不会了 (2012-08-13 20:19) 

http://www.4ngel.net/article/36.htm
7 z6 Z) q' f" w
2 N0 K3 ~( o# J5 O5 d0 j  TSQL Injection with MySQL这篇文章不错，看完它，这个就很容易理解了。

正方好像是.net+oracle架构的
. \- B% D0 U, Q1 S; x! S' ^漏洞已经不是一个两个了

[url=http://bbs.zzsy.com/u.php?username=[夏虫]][夏虫][/url]:http://www.4ngel.net/article/36.htm

SQL Injection with MySQL这篇文章不错，看完它，这个就很容易理解了。 (2012-08-13 20:24)

没学过那类的..看了也是一片模糊

真可怕 。。。

休眠的翅膀: 这个真不会了 (2012-08-13 20:19)

一个简单的例子
( P2 p, }. _  r# ~" S5 M
正常SQL查询语句：
select * from table where a='xxx'
9 _" M6 m/ f' @9 _5 xxxx是用户在表单中填写的信息

当用户不提交正常数据 提交诸如 xxx' or 1=1 --
语句就变成
select * from table where a='xxx' or 1=1 --'
8 R2 @- |2 P0 _6 d8 Y" V: a--注释掉了后面的单引号 所以这部分就相当于没有了 句子就是
select * from table where a='xxx' or 1=1
由于存在or 1=1 说明始终成立 那就执行select 注入成功

写代码的时候如果判断不合理或者没对提交数据做过滤就会存在注入漏洞
1 l0 B1 o2 {2 n2 ^$ l帖子里面的注入漏洞10年就出现在CSDN了 前一段时间被人提交到Wooyun平台上

阿鹏gilper:一个简单的例子

! o. m+ j% X/ ]1 Z正常SQL查询句子：
- j: }1 X8 v+ C/ x1 `8 ]3 T select * from table where a='xxx'
....... (2012-08-13 21:12)

有点小明白

阿鹏gilper:正方好像是.net+oracle架构的
: k7 z2 L+ ?: ^' o漏洞已经不是一个两个了 (2012-08-13 20:34)

哈哈，你居然还在论坛游荡啊。欢迎常来论坛。

卧槽 咋不早发现呢
+ L  K, N4 i( Y5 w" T" r4 N哥蛋疼的分数啊