Vulnerability Detail Report
Vulnerability Overview
- ZDID: ZD-2018-01201
- 發信 Vendor: 權鋒國際股份有限公司
- Title: 權鋒國際股份有限公司旗下站點存在SQL注射漏洞
- Introduction: can dump data
處理狀態
目前狀態
-
新提交
-
已審核
-
已通報
-
未回報修補狀況
-
未複測
-
公開
處理歷程
- 2018/08/24 16:38:57 : 新提交 (由 未知数 更新此狀態)
- 2018/08/24 16:42:14 : 新提交 (由 未知数 更新此狀態)
- 2018/08/25 16:37:48 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2018/08/27 11:34:35 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2018/08/27 11:34:35 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2018/10/24 03:00:12 : 公開 (由 HITCON ZeroDay 平台自動更新)
詳細資料
- ZDID：ZD-2018-01201
- 通報者：shik3 (未知数)
- 風險：高
- 類型：資料庫注入攻擊 (SQL Injection)
參考資料
漏洞說明： OWASP - SQL Injection
https://www.owasp.org/index.php/SQL_Injection
漏洞說明： OWASP - Top 10 - 2017 A1 - Injection
https://www.owasp.org/index.php/Top_10-2017_A1-Injection
漏洞說明： CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
https://cwe.mitre.org/data/definitions/89.html
防護方式： OWASP - SQL Injection Prevention Cheat Sheet
https://www.owasp.org/index.php/SQL_Injection_Prevention_Cheat_Sheet
相關網址
敘述
Database: youluck
[8 tables]
+----------------+
| account |
| activity |
| category |
| child_article |
| child_category |
| news |
| product |
| product_ad |
+----------------+
Table: account
[4 columns]
+---------------+-------------+
| Column | Type |
+---------------+-------------+
| adminAccount | varchar(40) |
| adminID | smallint(1) |
| adminMail | varchar(80) |
| adminPassword | varchar(40) |
+---------------+-------------+
Table: account
[1 entry]
+--------------+---------+----------------------------------+-----------------------------+
| adminAccount | adminID | adminPassword | adminMail |
+--------------+---------+----------------------------------+-----------------------------+
| 此處打碼 | 1 | 此處打碼 | 此處打碼 |
+--------------+---------+----------------------------------+-----------------------------+