最高法的某系统存在编码缺陷,可对提交的参数进行修改,将查询条件改为通配符后可将数据库内2000多万条数据查询出来,里面包含有姓名、身份证号、执行法院、执行案件号等敏感信息,由于查询出的数据量较大,查询几次后会导致该系统瘫痪。
漏洞存在于“全国法院被执行人信息查询系统”,在输入被执行人的姓名和对应的身份证号时才能查询出相应的信息,在提交参数数时,中途用工具截获参数,将相关参数改为通配符则能查询出全国所有被执行人信息,共有20806963条数据。该系统的URL为:http://zhixing.******.gov.cn/
由于查询到的数据量太大,系统与数据库的连接中断了,间接造成拒绝服务攻击
对提交的被执行人姓名和身份证号进行校验过滤。
版权与免责声明:
凡注明稿件来源的内容均为转载稿或由网友用户注册发布,本网转载出于传递更多信息的目的;如转载稿涉及版权问题,请作者联系我们,同时对于用户评论等信息,本网并不意味着赞同其观点或证实其内容的真实性;