中国网络渗透测试联盟

标题: 万达供应商系统SQL注射漏洞 [打印本页]
作者: admin    时间: 2013-3-24 20:16
标题: 万达供应商系统SQL注射漏洞
简要描述：万达某分站sql注入。敏感信息泄露。1 K/ c8 k: q. R! s7 X; W' I! w
详细说明：
5 q+ Y# D1 K: x# w- y) m( D万达scm系统登陆框sql注入。
  i& s" j) I7 r  I3 X0 o  f2 d( Q
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27$ p% y4 |! m3 c$ U9 F, r" O

* W  ]9 Z# v( Z4 r1 f4 l7 ?; }# A, O1 O
500错误。
0 }' b6 @6 _. I/ B! m; g' Y9 N9 Z
7 d2 q8 w" V7 ^- `7 }用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。- ?  z! T; b7 Z  W
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
: U' m( ~) J) F截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
, t* d" G& n7 S( ]' j, _7 Y经过分析，登陆验证的过程应该是：+ C+ s% F8 o" w/ z1 o0 ?

9 G: d4 H; ]8 v! g取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。1 N; d" N- N! Q7 O3 C$ o3 m
http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png: u* R( X( ~# H6 s6 j

# c9 N5 I6 r. D& O1 r: @! A0 {oracle数据库，存在注入点。@大连万达，你怎么看？4 K/ C+ W2 I* T. Y
http://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png
; K/ K/ ?) q: j& Z3 i3 @5 R# U: a; k0 T
系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
- L1 m* {) S, i/ w" V/ a+ Q漏洞证明：
( L( L7 \; u& B' v万达scm系统登陆框sql注入。
% a. C8 u( |. J' `  z' |/ P5 B! `3 \3 |
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27' D: W  b; A) e8 ?$ Z

' I5 L4 p+ [* y) X; Y
. j7 O( [" d6 }: C2 {" D500错误。% a- `/ e& V5 [3 U7 j

, r1 Y" g: o5 q1 j& o3 q用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
: N6 z; `. V, W2 A6 M8 |http://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png7 Z; E- ]/ G1 S0 J9 q# P/ h8 V/ g
2 ^5 r. A- i9 q& Q
& ^, }1 p# e1 e- H+ e& \6 P
（截图有一点问题）
- ?+ z$ e0 B8 ~3 W6 l5 t1 E6 C% ?4 v' W: ^( ^& m( [
怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
/ F# e  w% L7 M& k  l* `7 o
1 x6 S) I' u: y& J取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
; L9 k# Q0 q% a+ f% T* f# M+ p7 q) u4 r5 I4 a& }0 H
绕过：- e; }' e$ w5 q1 z" ?  c. \
http://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1
4 @' T" d$ n; ?1 C& j$ U9 @. I( W+ S( N  j, |7 \
1 L" m  o+ Q- P, s
oracle数据库，存在注入点。@大连万达，你怎么看？
: N8 b9 X  T+ |/ F* o' J6 f4 N" l$ d​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。* B8 ]8 M' F/ R& g( I- r
* k4 Z3 L% |+ G$ M3 X
修复方案：
7 P4 b4 {9 i1 k+ D。。。
6 F, g, T2 ?# y# m" ^! c: P( `1 k# f8 J. O& `8 i

% V$ E3 L# Y+ q% g* P0 Y) x5 p厂商已经确认
* ~9 Z/ s5 ?# p$ z! Z2 ~; F4 s" T, {0 ~
[/td][/tr]
: @' `( j) C1 L* L[/table]3 P6 c' ?( j! e) Q7 ]

0 \/ T1 w' S3 ^4 ?- ]
9 P- |' `3 l" \/ n6 [



欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2