台灣長照護理學會無須登入狀態可取得大量會員資料及網站參數存在SQL injection - HITCON ZeroDay

Vulnerability Detail Report

Vulnerability Overview

  • ZDID: ZD-2021-00841
  •  發信 Vendor: 台灣長照護理學會
  • Title: 台灣長照護理學會無須登入狀態可取得大量會員資料及網站參數存在SQL injection
  • Introduction: 網站參數存在SQL injection

處理狀態

目前狀態

公開
Last Update : 2022/01/21
  • 新提交
  • 已審核
  • 已通報
  • 未回報修補狀況
  • 未複測
  • 公開

處理歷程

  • 2021/11/21 23:31:57 : 新提交 (由 [email protected] 更新此狀態)
  • 2021/11/21 23:32:50 : 新提交 (由 [email protected] 更新此狀態)
  • 2021/11/21 23:34:09 : 新提交 (由 [email protected] 更新此狀態)
  • 2021/11/27 22:55:50 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2021/12/02 11:23:26 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2021/12/02 11:23:26 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2021/12/02 11:23:26 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2022/01/21 03:00:04 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

  • ZDID:ZD-2021-00841
  • 通報者:wucy0612 ([email protected])
  • 風險:高
  • 類型:任意檔案下載 (Arbitrary File Download)

參考資料

攻擊者可經由該漏洞取得後端系統中的任意資料(包含主機之敏感檔案)。

OWASP Top 10 - 2017 A5 - Broken Access Control
https://www.owasp.org/index.php/Top_10-2017_A5-Broken_Access_Control

OWASP Top 10 - 2013 A4 - Insecure Direct Object References
https://www.owasp.org/index.php/Top_10_2013-A4-Insecure_Direct_Object_References

CWE-284: Improper Access Control
https://cwe.mitre.org/data/definitions/284.html

OWASP - Path Traversal 及防禦方式
https://www.owasp.org/index.php/Path_Traversal

CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')
https://cwe.mitre.org/data/definitions/22.html
(本欄位資訊由系統根據漏洞類別自動產生,做為漏洞參考資料。)

相關網址

https://www.tltcna.com.tw/admin/login.php
https://www.tltcna.com.tw/admin/member_down.php
https://www.tltcna.com.tw/admin/member_down_simple.php
https://www.tltcna.com.tw/login.php
https://www.tltcna.com.tw/chairman.php

敘述

https://www.tltcna.com.tw/chairman.php
多處資料已被註記 Hacked by LinuXenic
圖片

https://www.tltcna.com.tw/admin/login.php
登入管理後台
帳號輸入 sqli payload ,密碼隨意,即可登錄
圖片
圖片

https://www.tltcna.com.tw/admin/member_down.php
https://www.tltcna.com.tw/admin/member_down_simple.php
無須登入狀態可任意進行檔案下載(取得大量會員資料)
圖片

https://www.tltcna.com.tw/login.php
會員登入
帳號輸入 sqli payload ,密碼隨意,即可登錄
sqli payload : ' or 1 or '
圖片
圖片
圖片
可取得會員身分證影本
本案曾經通報 https://zeroday.hitcon.org/vulnerability/ZD-2020-00912

修補建議

進行檔案權限管控

擷圖

留言討論

聯絡組織

 發送私人訊息
您也可以透過私人訊息的方式與組織聯繫,討論有關於這個漏洞的相關資訊。
;