Vulnerability Detail Report
Vulnerability Overview
- ZDID: ZD-2026-00815
- 發信 Vendor: 衛生福利部
- Title: 大千綜合醫院 白箱測試 - SQL Injection Bypass login + 後台存在弱密碼
- Introduction: 經白箱分析，該單位之後台頁面存在 SQL Injection 可直接繞過登入驗證進入後台，並且存在數個弱密碼
處理狀態
目前狀態
-
新提交
-
已審核
-
已通報
-
已修補
-
已複測
-
公開
處理歷程
- 2026/06/06 00:45:30 : 新提交 (由 阿文 更新此狀態)
- 2026/06/06 00:46:32 : 新提交 (由 阿文 更新此狀態)
- 2026/06/06 00:54:49 : 新提交 (由 阿文 更新此狀態)
- 2026/06/10 12:50:29 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2026/07/02 12:32:01 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2026/07/02 12:32:01 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2026/07/02 12:32:01 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2026/07/23 17:08:57 : 複測申請中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2026/07/23 17:09:15 : 複測申請中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2026/07/24 00:16:47 : 確認已修補 (由 阿文 更新此狀態)
- 2026/07/27 03:00:14 : 公開 (由 HITCON ZeroDay 平台自動更新)
詳細資料
- ZDID：ZD-2026-00815
- 通報者：littlebabywen (阿文)
- 風險：高
- 類型：資料庫注入攻擊 (SQL Injection)
參考資料
漏洞說明： OWASP - SQL Injection
https://www.owasp.org/index.php/SQL_Injection
漏洞說明： OWASP - Top 10 - 2017 A1 - Injection
https://www.owasp.org/index.php/Top_10-2017_A1-Injection
漏洞說明： CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
https://cwe.mitre.org/data/definitions/89.html
防護方式： OWASP - SQL Injection Prevention Cheat Sheet
https://www.owasp.org/index.php/SQL_Injection_Prevention_Cheat_Sheet
相關網址
敘述
-
根據 ZD-2026-00814 通報 ，"http://60.249.72.247:8088/DC_BACKEND/AdministratorLogin.php" - 此為管理後台，審計了 AdministratorLogin.php 原始碼，" $sql " 此處未進行任何預編譯（Prepared Statements）或轉義（Escaping），欄位即存在 SQL Injection 。
-
帳號欄位輸入任意值後面附加 ( ' # 或者 ' -- ) 等註解符號，密碼欄位留空，即可繞過登入頁面。
- aaa' #
- aaa' --
-
而後分析後段原始碼，可得知後端有針對密碼欄位進行 aes-256-cbc 進行加密再用 base64 進行編碼，但由於密鑰(Key)長度不足與初始化向量 (IV) hard code 寫死在原始碼文件當中，利用 mysql.exe 撈出來的密碼密文，並自製 HTML 腳本 ( phpAesDecrypt 、CryptoJS ) 即可解密，並會發現所有帳號都存在弱密碼。
帳號: u0733128 | 密碼: 123456
帳號: u0733111 | 密碼: 123456
帳號: DCHUSER | 密碼: 123456
帳號: u0833000 | 密碼: 00000000
免責聲明
原始碼經分析後，已全數刪除
修補建議
1. 使用參數化查詢（Prepared Statements）： 始終使用參數化查詢或預備語句來處理輸入資料，這樣可以確保使用者輸入的資料不會被當作 SQL 指令的一部分執行，而是作為純數據處理。
2. 嚴格的輸入驗證與過濾： 在後端對使用者輸入的資料進行嚴格的驗證與過濾，避免非預期的特殊字符進入 SQL 查詢。例如，對字符串型輸入過濾掉特殊字符，對數字型輸入確保僅為數字。
3. 立即修改帳號之弱密碼