江苏国泰新点软件公共资源招投标会员网上交易系统存在SQL注入漏洞(NO.1)
(window.slotbydup=window.slotbydup || []).push({
id: '2611110',
container: s,
size: '240,200',
display: 'inlay-fix'
您当前位置： &
[ 所属分类
| 时间 2016 |
作者 红领巾 ]
江苏国泰新点软件公共资源招投标会员网上交易系统存在SQL注入漏洞(NO.1)
江苏国泰新点软件有限公司
SQL注射漏洞
已交由第三方合作机构(cncert国家互联网应急中心)处理
目前国内多家机构都在使用该软件。如招投标，公共资源交易等机构。虽然登录界面和地址不通，但是核心都是一样的，最大的区别就是会员登录机制，有些地方用用户名加口令，有些地方用KEY或者证书。经过对会员系统进行测试发现SQL注入一处，还有很多，没有一一验证。
'/**/union/**/all/**/select/**/@@version--
交易 inurl:infodetail/?infoid=
漏洞证明：
登录演示站.cn:8090/bzbweb_demo/
进入招标企业登录
通过注册账户登录公共资源招投标会员网上交易系统
存在漏洞的位置是“单位名称处”
提交保存后
邪恶的SQL注入能脱掉整个裤子。
关于登录机制的区分：重点说明
.cn:8090/bzbhy5_Demo/login_07.aspx这个是需要“白锁”认证的
.cn:8090/bzbhy5_Demo/login.aspx这个是仅需用户名和密码的
等等，还有需要证书的。
本次登录采用的事用户名+密码那个。
修复方案：
虽然你们的系统对一些常见的SQL注入进行了过滤，但是还是有绕过的办法，有些地方根本没过滤。怎么修复哪？
版权声明：转载请注明来源 @乌云
本文web安全相关术语:黑盒测试方法 黑盒测试和白盒测试 网站安全检测 360网站安全检测 网络安全知识 网络安全技术 网络信息安全 网络安全工程师
转载请注明本文标题：本站链接：
分享请点击：
1.凡CodeSecTeam转载的文章,均出自其它媒体或其他官网介绍,目的在于传递更多的信息,并不代表本站赞同其观点和其真实性负责；
2.转载的文章仅代表原创作者观点,与本站无关。其原创性以及文中陈述文字和内容未经本站证实,本站对该文以及其中全部或者部分内容、文字的真实性、完整性、及时性，不作出任何保证或承若；
3.如本站转载稿涉及版权等问题,请作者及时联系本站,我们会及时处理。
登录后可拥有收藏文章、关注作者等权限...
CodeSecTeam微信公众号
同在一个环境中生活，强者与弱者的分界就在于谁能改变它
手机客户端Hi，这是的腾讯微博，立即登录并收听，新鲜动态尽收眼底！
正在加载...
Copyright & 1998 - 2017 Tencent. All Rights Reserved|||||新点标书制作软件 v2.1.1 官方版
您的位置：& > &新点标书制作软件 v2.1.1 官方版
新点标书制作软件 v2.1.1 官方版光盘刻录
网友评分：
软件大小：101MB
软件语言：简体中文
软件类型：国产软件
软件类别：光盘刻录
更新时间：
软件授权：免费版
官方网站：
运行环境：XP/Win7/Win8/Win10
40MB/简体中文/6.7
5.14MB/简体中文/8
5.5MB/简体中文/7.5
223KB/简体中文/7.5
4.8MB/简体中文/8
新点标书制作软件是一款十分专业的标书制作软件，通过这款软件就可以轻松的制作出许多不同的标书了，有需要的用户赶紧来下载吧。
官方简介：
新点标书制作软件是由江苏国泰新点软件推出的投标文件制作软件，现在很多的工程招标文件都可以用它来制作，而且该工具具有刻录功能，非常的使用。
软件说明：
该软件主要用于建筑工程技术标招标中。制作投标文件的专用工具由投标单位使用，通过光盘导入招标文件后，根据本单位实际情况进行投标文件的编写，生成投标文件并刻入光盘。
1. 可导入Word文档，软件自动获得文档中的目录结构，用户也可以自己设置目录对应点。
2. 导入文件后，在每个目录节点上用户都可以导入已有的标书文档，如：Word、平面图和其他格式图片等。
3. 软件提供文件格式转化功能，可方便导入其他格式的文件如Project文档、Excel文档等。
4. 标书检查功能：检查标书目录节点是否都对应上了内容，并能统计标书的总页数。
更新记录：
更新说明：增加了对深思锁(白锁)的支持;
增加了投标文件生成速度
增加光盘刻录成功率
支持64位操作系统的虚拟打印机安装
支持Windows7操作系统
提高刻录成功率
增加了在线升级功能
支持office 2007，改进刻录功能，请用户尽快更新,安装新版本之前将软件卸载并删除安装文件夹。
扬州地区可以刻录工程文件(.rar格式)
主要提高了生成投标文件的性能。
软件无法下载或下载后无法使用，请点击报错，谢谢！
请描述您所遇到的错误，我们将尽快予以修正，谢谢！
*必填项，请输入内容
本类下载排行}