2014-05-16:细节已通知厂商并且等待厂商处理中
2014-05-21:厂商已经确认,细节仅向厂商公开
2014-05-31:细节向核心白帽子及相关领域专家公开
2014-06-10:细节向普通白帽子公开
2014-06-20:细节向实习白帽子公开
2014-06-30:细节向公众公开
利用任意文件下载漏洞下载源码看了下,对sql注入基本没做防护
newsinfo.jsp文件的newsinfo_id存在注入
同联网吧系统设计多个省份的多家网吧,具体有多多不清楚
www.tl-hh.cn
219.148.180.5
219.148.180.4
202.100.98.122
202.100.85.25
tl-lanzhou.cn
www.tl-dianxin.cn
58.18.184.26
tl-wangtong.cn
58.18.22.136
注入点:http://xxx.xxx/newsinfo.jsp?newsinfo_id=30
系统管理员账号密码
网吧用户信息,貌似是个网吧网管的
直接登录web后台
上面的后台是web管理员的,下面这个是公安后台
后台地址:http://tl-wangtong.cn/police/
版权声明:转载请注明来源 Asuimu@乌云 漏洞回应 厂商回应:
危害等级:高
漏洞Rank:14
确认时间:2014-05-21 08:27
厂商回复:CNVD确认并复现所述多个实例情况,已经由CNVD通过公开渠道联系软件生产厂商处置,联系同联科技 0431-,邮件和电话通报
最新状态:暂无
版权与免责声明:
凡注明稿件来源的内容均为转载稿或由网友用户注册发布,本网转载出于传递更多信息的目的;如转载稿涉及版权问题,请作者联系我们,同时对于用户评论等信息,本网并不意味着赞同其观点或证实其内容的真实性;