漢東武道館 道館資料庫注入及預存式 XSS 漏洞 - HITCON ZeroDay

Vulnerability Detail Report

Vulnerability Overview

  • ZDID: ZD-2017-00594
  •  發信 Vendor: 漢東武道館
  • Title: 漢東武道館 道館資料庫注入及預存式 XSS 漏洞
  • Introduction: SQL Injection & XSS

處理狀態

目前狀態

公開
Last Update : 2017/10/03
  • 新提交
  • 已審核
  • 已通報
  • 未回報修補狀況
  • 未複測
  • 公開

處理歷程

  • 2017/08/03 17:00:31 : 新提交 (由 Bojack 更新此狀態)
  • 2017/08/03 17:01:06 : 新提交 (由 Bojack 更新此狀態)
  • 2017/08/04 00:01:54 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2017/08/10 01:54:21 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2017/08/10 01:54:22 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2017/08/14 16:43:11 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2017/10/03 03:00:09 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

  • ZDID：ZD-2017-00594
  • 通報者：bojack (Bojack)
  • 風險：中
  • 類型：資料庫注入攻擊 (SQL Injection)

參考資料

攻擊者可利用該漏洞取得後端資料庫權限及完整資料（包含大量使用者個資或敏感性資料），同時也有機會對資料進行破壞或修改。

漏洞說明： OWASP - SQL Injection
https://www.owasp.org/index.php/SQL_Injection

漏洞說明： OWASP - Top 10 - 2017 A1 - Injection
https://www.owasp.org/index.php/Top_10-2017_A1-Injection

漏洞說明： CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
https://cwe.mitre.org/data/definitions/89.html

防護方式： OWASP - SQL Injection Prevention Cheat Sheet
https://www.owasp.org/index.php/SQL_Injection_Prevention_Cheat_Sheet
(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

相關網址

http://www.aikidotaiwan.com.tw/blog/Content.asp?ID=16&ReLoad=yes&Apage=1
http://www.aikidotaiwan.com.tw/guestbook/index.asp
http://www.aikidotaiwan.com.tw/guestbook/post.asp

敘述

  1. 網站留言版在留言內容填入 <script>alert(document.domain)</script> 可觸發預存式 XSS 攻擊
    圖片
  2. Blog 文章的 ID 參數可被 sqlmap 觸發 SQL Injection 攻擊
    圖片

修補建議

1. 留言板應過濾使用者所輸入內容，避免遭 XSS 攻擊
2. 應過濾文章 ID 避免遭 SQL Injection 攻擊

擷圖

留言討論

聯絡組織

 發送私人訊息
您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。
;