財團法人台北市教會聚會所資料庫注入漏洞以及GIT洩漏 - HITCON ZeroDay

Vulnerability Detail Report

Vulnerability Overview

  • ZDID: ZD-2021-00837
  •  發信 Vendor: 財團法人台北市教會聚會所
  • Title: 財團法人台北市教會聚會所資料庫注入漏洞以及GIT洩漏
  • Introduction: SQLI 以及 GIT 洩漏

處理狀態

目前狀態

公開
Last Update : 2022/01/19
  • 新提交
  • 已審核
  • 已通報
  • 未回報修補狀況
  • 未複測
  • 公開

處理歷程

  • 2021/11/19 08:21:09 : 新提交 (由 trainman 更新此狀態)
  • 2021/11/19 23:09:44 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2021/11/19 23:09:49 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2021/11/23 12:23:01 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2021/11/23 12:23:01 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2021/11/23 12:23:01 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2022/01/19 03:00:02 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

  • ZDID:ZD-2021-00837
  • 通報者:trainman (trainman)
  • 風險:中
  • 類型:資料庫注入攻擊 (SQL Injection)

參考資料

攻擊者可利用該漏洞取得後端資料庫權限及完整資料(包含大量使用者個資或敏感性資料),同時也有機會對資料進行破壞或修改。

漏洞說明: OWASP - SQL Injection
https://www.owasp.org/index.php/SQL_Injection

漏洞說明: OWASP - Top 10 - 2017 A1 - Injection
https://www.owasp.org/index.php/Top_10-2017_A1-Injection

漏洞說明: CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
https://cwe.mitre.org/data/definitions/89.html

防護方式: OWASP - SQL Injection Prevention Cheat Sheet
https://www.owasp.org/index.php/SQL_Injection_Prevention_Cheat_Sheet
(本欄位資訊由系統根據漏洞類別自動產生,做為漏洞參考資料。)

相關網址

https://www.chlife-stat.org/login_select_churches.php
https://www.chlife-stat.org/.git/

敘述

透過SQLMAP可取得DB schema, Table, Column 資訊
圖片圖片
透過GitHack 可讀取Git Index資訊
圖片

修補建議

1. 建議套用ModSecurity來保護整個網站

ModSecurity is a web application firewall (WAF). With over 70% of attacks now carried out over the web application level, organisations need all the help they can get in making their systems secure. WAFs are deployed to establish an increased external security layer to detect and/or prevent attacks before they reach web applications. ModSecurity provides protection from a range of attacks against web applications and allows for HTTP traffic monitoring and real-time analysis with little or no changes to existing infrastructure.

http://www.modsecurity.org/download/

2. 設定特定內部資訊目錄為403: /.git/

擷圖

留言討論

聯絡組織

 發送私人訊息
您也可以透過私人訊息的方式與組織聯繫,討論有關於這個漏洞的相關資訊。
;