万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
详细说明：
万达scm系统登陆框sql注入。

http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
: f- v9 N) F5 O" S' G7 X0 H' Z
1 [; t/ e. y; x1 N
500错误。

用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
2 r1 S# J! R3 \% E/ ahttp://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
经过分析，登陆验证的过程应该是：
9 o1 \3 z: n! Z% [
取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png
( Q; ]# p  F; V* {( A+ N" G, Y& u8 `
6 J/ Z/ v( j. z1 w* l( V" D( d5 Voracle数据库，存在注入点。@大连万达，你怎么看？
) E! R" t$ A/ i9 r" m  Uhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png
- i8 }$ l% ]' @6 z
系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
2 w" U$ b2 O% L! G. V" H& r6 ?' d漏洞证明：
2 y5 W" X7 F" Q万达scm系统登陆框sql注入。

; J+ _( @' t( Thttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27

# j: d* v! `# `; t
" p* F0 ]' o+ ?5 v2 g500错误。
1 @% c5 }1 q# l; z" T
用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png
/ @, @& Y2 z6 o4 s7 ?

（截图有一点问题）

怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
8 i. X8 i- b" Q5 M1 j% ]+ x! H
取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。

! x& Y9 R0 R( r绕过：
+ g0 @+ e. Z$ phttp://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1

  s* V. l5 L& `
+ c- k8 p% ^* ?: roracle数据库，存在注入点。@大连万达，你怎么看？
​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

3 h( o# k8 }! e修复方案：
。。。
: I9 |2 x6 f( F- v7 Y
/ ?8 j; [& G  H5 D
厂商已经确认
# O( [/ w9 ]; e2 ?3 x6 B
, L. b$ j. n. O- l( j[/td][/tr]
# `0 Y. [1 Q; O' a. p  P( w. d& W[/table]
) r, g* x# Y3 d4 o9 n- D3 U: M
) B/ [3 a* U. k$ K