幸福人寿某处SQL注射漏洞/泄露近800W用户信息

  • 内容
  • 相关

漏洞详情

披露状态:

 

2016-05-01: 细节已通知厂商并且等待厂商处理中
2016-05-06: 厂商已经确认,细节仅向厂商公开
2016-05-16: 细节向核心白帽子及相关领域专家公开
2016-05-26: 细节向普通白帽子公开
2016-06-05: 细节向实习白帽子公开
2016-06-20: 细节向公众公开

简要描述:

rt

详细说明:

近800w用户信息、4400w保单信息



数据包如下



code 区域
GET /Site/1*/CN HTTP/1.1
Referer: http://**.**.**.**:80/
Cookie: AD_RS_COOKIE=20110623; JSESSIONID=jb07XpYTL2K3bTDLChMk0PtBpq1K3v4Dd1pWjL2sXM2nXpgGT9SC!-90817031
Host: **.**.**.**
Connection: Keep-alive
Accept-Encoding: gzip,deflate
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.21 (KHTML, like Gecko) Chrome/41.0.2228.0 Safari/537.21
Accept: */*







主站注入 **.**.**.**





比你想象的更详细





个人信息 LDPERSON2 7925828



保单信息 LCINSUREACCTRACE2 44605968









QQ截图20160428233416.png



QQ截图20160428233417.png



QQ截图20160428234750.png



QQ截图20160428235337.png



QQ截图20160428235353.png



QQ截图20160428235516.png



QQ截图20160428235649.png



漏洞证明:

1

修复方案:

版权声明:转载请注明来源 路人甲@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:10

确认时间:2016-05-06 12:52

厂商回复:

CNVD确认并复现所述情况,已经转由CNCERT向保险行业信息化主管部门通报,由其后续协调网站管理单位处置.

最新状态:

暂无


本文标签:

版权声明:若无特殊注明,本文皆为《安三》原创,转载请保留文章出处。『鹦鹉搜索』

百度收录:百度未收录『点击提交』

本文链接:幸福人寿某处SQL注射漏洞/泄露近800W用户信息 - https://www.15qq.cn/wooyun/721.html

发表评论

电子邮件地址不会被公开。 必填项已用*标注

允许邮件通知