HanDs
管理员

[7月漏洞公开] 医疗企业安全之趣医网app一处SQL注入(涉及187W+患者/15W+医生信息) 



APP安全之SQL注入

详细说明:

目标:趣医网IOS APP

检测发现以下地方存在SQL注入:(注入参数diseaseName,报错注入)

code 区域
http://120.27.81.219:8080/api/ms-guide/v1/hospitals/departs/real?APPOINT_SOURCE=0&APP_UUID=4ea0bb0a-cb21-4848-98b5-8ee4c77a6036&CHANNEL_ID=1&cityCode=123&diseaseName=天花&hospitalID=&IMEI_ID=7505363B-8438-435F-8917-85C3BBD19D17&isLogin=true&juniorCode=11&juniorName=感染科|&loc=c&operateCurrent_UserId=11299681&operateUserSource=0&opVersion=2.2.01&PHONEOPERATINGSYS=2&PHONETYPE=iPhone8,1&PHONEVERSIONNUM=9.3.2&provinceCode=0&PUBLIC_SERVICE_TYPE=0&QY_CHECK_SUFFIX=d1f4d23a30fed8f7aa9a8a2a2d30f457&USER_ID=11299681&USER_VS_ID=14374450

漏洞证明:

1、当前数据库用户

user.jpg



2、所有数据库

dbs.jpg



3、数据表,涉及187W+患者/15W+医生信息

TB1.jpg



TB2.jpg

修复方案:

请多指教~


学习中请遵守法律法规,本网站内容均来自于互联网,本网站不负担法律责任
医疗
#1楼
发帖时间:2016-7-16   |   查看数:0   |   回复数:0
游客组
快速回复