康普頓 診所資料庫注入漏洞 - HITCON ZeroDay

Vulnerability Detail Report

Vulnerability Overview

  • ZDID: ZD-2017-00620
  •  發信 Vendor: 康普頓生物科技有限公司
  • Title: 康普頓 診所資料庫注入漏洞
  • Introduction: SQL Injection

處理狀態

目前狀態

公開
Last Update : 2017/10/06
  • 新提交
  • 已審核
  • 已通報
  • 未回報修補狀況
  • 未複測
  • 公開

處理歷程

  • 2017/08/06 11:36:25 : 新提交 (由 Bojack 更新此狀態)
  • 2017/08/06 22:34:49 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2017/08/11 17:03:26 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2017/08/11 17:03:27 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2017/08/14 16:30:59 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2017/10/06 03:00:10 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

  • ZDID：ZD-2017-00620
  • 通報者：bojack (Bojack)
  • 風險：中
  • 類型：資料庫注入攻擊 (SQL Injection)

參考資料

攻擊者可利用該漏洞取得後端資料庫權限及完整資料（包含大量使用者個資或敏感性資料），同時也有機會對資料進行破壞或修改。

漏洞說明： OWASP - SQL Injection
https://www.owasp.org/index.php/SQL_Injection

漏洞說明： OWASP - Top 10 - 2017 A1 - Injection
https://www.owasp.org/index.php/Top_10-2017_A1-Injection

漏洞說明： CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
https://cwe.mitre.org/data/definitions/89.html

防護方式： OWASP - SQL Injection Prevention Cheat Sheet
https://www.owasp.org/index.php/SQL_Injection_Prevention_Cheat_Sheet
(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

相關網址

http://www.kpt-antiaging.com.tw/news_txt.php?ccid=422

敘述

透過 sqlmap 可發現 GET 參數 ccid 可被 SQL injection 利用
圖片
後台管理帳號密碼以明碼儲存，此外透過 Google Hacking 或字典目錄猜測可發現後台登入位置

修補建議

1. 應過濾 GET 參數避免 SQL Injection 攻擊
2. 密碼應以加密方式儲存

擷圖

留言討論

聯絡組織

 發送私人訊息
您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。
;