Vulnerability Detail Report
Vulnerability Overview
- ZDID: ZD-2025-00176
- 發信 Vendor: {國立高雄科技大學 海洋事務與產業管理研究所}
- Title: 國立某大學某產業管理研究所存在SQL注入漏洞
- Introduction: 该漏洞是在数据输入点未对用户输入进行有效过滤，导致攻击者可通过在输入参数中添加 “AND” 等 SQL 关键字，结合数字型数据构造恶意 SQL 语句，从而实现绕过验证、查询或篡改数据库中敏感数据的安全隐患 。
處理狀態
目前狀態
-
新提交
-
已審核
-
已通報
-
已修補
-
未複測
-
公開
處理歷程
- 2025/02/17 15:49:43 : 新提交 (由 萬里 更新此狀態)
- 2025/02/19 16:25:49 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2025/03/13 17:01:39 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2025/03/13 17:01:39 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2025/03/13 17:01:39 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2025/03/19 08:45:01 : 已修補 (由 組織帳號 更新此狀態)
- 2025/03/27 03:07:19 : 公開 (由 HITCON ZeroDay 平台自動更新)
詳細資料
- ZDID：ZD-2025-00176
- 通報者：jackLI (萬里)
- 風險：高
- 類型：資料庫注入攻擊 (SQL Injection)
參考資料
漏洞說明： OWASP - SQL Injection
https://www.owasp.org/index.php/SQL_Injection
漏洞說明： OWASP - Top 10 - 2017 A1 - Injection
https://www.owasp.org/index.php/Top_10-2017_A1-Injection
漏洞說明： CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
https://cwe.mitre.org/data/definitions/89.html
防護方式： OWASP - SQL Injection Prevention Cheat Sheet
https://www.owasp.org/index.php/SQL_Injection_Prevention_Cheat_Sheet
相關網址
敘述
漏洞：该 URL 包含item_id和item两个参数，这是潜在的 SQL 注入点。如果后端在处理这些参数时，将其直接拼接进 SQL 查询语句，且没有对输入进行严格的验证和过滤，就可能出现 SQL 注入漏洞。例如在 PHP 中，如果使用了不安全的数据库查询方式，类似$sql = "SELECT * FROM table WHERE item_id = $item_id AND item = $item";，其中$item_id和$item未经处理直接嵌入 SQL 语句，就会给攻击者可乘之机。
漏洞利用方式：攻击者可能构造恶意的输入。对于数字型参数，可尝试像http://imabm.nkust.edu.tw/form.php?item_id=318 AND 1=1&item=5这样的 URL。如果应用存在漏洞，原本的查询逻辑会被改变，可能绕过一些查询限制，让攻击者获取更多数据。攻击者还能尝试更复杂的注入语句，如http://imabm.nkust.edu.tw/form.php?item_id=318 AND (SELECT COUNT(*) FROM users)>0&item=5，通过观察页面响应来判断数据库中是否存在users表，进而逐步探测数据库结构和敏感数据。
危害评估：一旦漏洞被利用，可能导致数据库中敏感信息泄露，如用户数据、业务数据等。攻击者还可能篡改或删除数据，破坏系统的正常运行，影响依赖该系统的业务功能，如数据统计、用户认证等功能可能出现异常。
修補建議
检测与修复建议：检测时可使用专业工具，如 SQLmap，对该 URL 进行扫描。也可手动测试，在参数值处输入特殊字符和 SQL 语句片段，观察页面响应。修复时，开发人员应使用参数化查询，以确保输入数据与 SQL 语句逻辑分离。对item_id和item参数进行严格的输入验证，只允许合法的数字输入，并限制输入长度。
PS:適可而止 已經成功獲取到數據庫信息，敏感個人資料應該不少，有防火墻懶得復現數據信息了。