[公开漏洞]某第三方银行移动业务服务商SQL注入漏洞（数万用户信息）

某第三方银行移动业务服务商SQL注入漏洞（数万用户信息） 相关厂商： 某厂商 漏洞作者：sex is not show 提交时间：2014-04-28 16:31 公开时间：2014-06-12 16:31 漏洞类型：SQL注射漏洞 危害等级：高 自评Rank：12 漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理 漏洞来源：http://www.wooyun.org Tags标签： Mysql 漏洞详情 披露状态：

2014-04-28：细节已通知厂商并且等待厂商处理中
2014-05-02：厂商已经确认，细节仅向厂商公开
2014-05-12：细节向核心白帽子及相关领域专家公开
2014-05-22：细节向普通白帽子公开
2014-06-01：细节向实习白帽子公开
2014-06-12：细节向公众公开

简要描述：

此业务应该是提供给各银行使用的

详细说明：

先说说怎么找到的吧。



http://wap.abchina.com/Portal/logon/Index.aspx 这是农行的wap页面，浏览器访问能看到这里提供的信息。

http://3g.paybest.cn/abc_drawing.php?drawing=4 中国农业银行-暑假"疯"行，保险、抽奖、送不停！机票"无底线"！



可以看到，是农行的活动页面，本想提交给农行的，不过这业务是由万易通提供的,看了介绍，应该是向各大银行wap提供的服务。



sqlmap -u "http://3g.paybest.cn/abc_drawing.php?drawing=4"

用户信息：

1W+用户呢。。

后台没找到，就没继续深入。。

漏洞证明：

修复方案：

升级、、

版权声明：转载请注明来源 sex is not show@乌云 漏洞回应 厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2014-05-02 21:31

厂商回复：

CNVD确认并复现所述情况，仅发现一个案例，暂未能发现更多实例。转由CNCERT直接向涉及的该银行信息化部门通报，由其后续协调合作方进行处置。

最新状态：

暂无