Vulnerability Detail Report
Vulnerability Overview
- ZDID: ZD-2025-00175
- 發信 Vendor: {台台南市不動產服務職業工會}
- Title: 台南市某服務職業工會存在SQL注入型漏洞
- Introduction: 该漏洞是在数据输入点未对用户输入进行有效过滤，导致攻击者可通过在输入参数中添加 “AND” 等 SQL 关键字，结合数字型数据构造恶意 SQL 语句，从而实现绕过验证、查询或篡改数据库中敏感数据的安全隐患 。
處理狀態
目前狀態
-
新提交
-
已審核
-
已通報
-
未回報修補狀況
-
未複測
-
公開
處理歷程
- 2025/02/17 15:10:55 : 新提交 (由 萬里 更新此狀態)
- 2025/02/17 15:51:54 : 新提交 (由 萬里 更新此狀態)
- 2025/02/19 16:25:12 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2025/03/13 17:00:03 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2025/03/13 17:00:03 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2025/03/13 17:00:04 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2025/04/19 03:00:43 : 公開 (由 HITCON ZeroDay 平台自動更新)
詳細資料
- ZDID：ZD-2025-00175
- 通報者：jackLI (萬里)
- 風險：高
- 類型：資料庫注入攻擊 (SQL Injection)
參考資料
漏洞說明： OWASP - SQL Injection
https://www.owasp.org/index.php/SQL_Injection
漏洞說明： OWASP - Top 10 - 2017 A1 - Injection
https://www.owasp.org/index.php/Top_10-2017_A1-Injection
漏洞說明： CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
https://cwe.mitre.org/data/definitions/89.html
防護方式： OWASP - SQL Injection Prevention Cheat Sheet
https://www.owasp.org/index.php/SQL_Injection_Prevention_Cheat_Sheet
相關網址
敘述
网址 “http://www.tnhouse.org.tw/f0102.php?n_id=182” 中包含参数 “n_id”，这是一个典型的可能引发 SQL 注入漏洞的参数形式。如果服务器端在处理 “n_id” 参数时，将其直接拼接在 SQL 查询语句中，且未对输入进行严格的过滤和验证，就有可能存在 “AND 数字型 SQL 注入” 漏洞。
漏洞利用方式分析：若存在该漏洞，攻击者可能会构造形如 “http://www.tnhouse.org.tw/f0102.php?n_id=182 AND 1=1” 的 URL。在存在漏洞的情况下，这种构造可能会改变原 SQL 查询的逻辑，使查询始终返回真值，从而绕过一些查询限制，获取更多数据或执行非预期操作。比如，攻击者可能利用该漏洞查询数据库中其他敏感信息，像用户的账号密码、工会会员的详细个人资料等。攻击者还可能尝试更复杂的注入语句，如 “http://www.tnhouse.org.tw/f0102.php?n_id=182 AND (SELECT COUNT (*) FROM users)>0”，以此来判断数据库中是否存在名为 “users” 的表以及其中是否有数据，进而逐步获取数据库结构和内容。
修補建議
检测与修复建议：为检测该漏洞，可使用专业的漏洞扫描工具，如 SQLmap，它能够自动检测此类 SQL 注入漏洞。也可以手动进行检测，在 “n_id” 参数处输入一些特殊字符和 SQL 语句片段，观察页面返回结果是否异常。要修复该漏洞，开发人员应避免将用户输入直接拼接在 SQL 语句中，采用参数化查询的方式，确保输入数据与 SQL 语句逻辑分离。对 “n_id” 参数进行严格的输入验证，只允许合法的数字输入，并对输入长度等进行限制。
聲明: 獲取數據僅爲漏洞復現敏感信息作爲參考