万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
2 G6 @* y0 a6 d3 L$ v( c$ F5 R详细说明：
万达scm系统登陆框sql注入。

5 l0 E: v6 K7 ?. L: hhttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27

* \$ O9 \+ r4 Q$ f( b9 l0 v; \
500错误。

用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
4 ~  f# Q3 N, q9 v截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
2 O! O0 E# r/ d, R# M2 K/ K& x( E经过分析，登陆验证的过程应该是：
, \9 ?" _$ v6 R9 t3 z4 f# W, p& j
取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
4 C( }6 `0 A$ y- }8 n; {http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png

/ q6 d; n0 c7 B% g5 Coracle数据库，存在注入点。@大连万达，你怎么看？
0 |4 W. V( w  F# ~% f& i$ s; Zhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png

系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
( E  H9 c' [" _( W9 q7 ]+ [1 z漏洞证明：
+ f% F6 E! S+ ?# w0 @/ P万达scm系统登陆框sql注入。

http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27

+ H+ G+ b% u" D- E$ r; a6 X
500错误。
/ Z- K! W8 L& A+ \9 p( V- n5 Y
用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
. c+ I3 B! {" @1 ehttp://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png

% c' m; w# F, A6 }6 ]1 H) J- Z5 s
（截图有一点问题）
# ~! C4 v; D) K3 W$ X. h
$ Z! W( T; Q: `1 `) I% q怎么饶都饶不过去；经过分析，登陆验证的过程应该是：

取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
2 j' `  |7 T2 n0 l, t& B  F+ v
绕过：
9 P) ~  t6 U6 g: L: j# ?http://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1
, G5 {% F0 v$ P- k6 N

" ~+ j; e; G2 Z7 X+ w( horacle数据库，存在注入点。@大连万达，你怎么看？
​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。
# D5 c9 F; o- E2 _
; J) l- {; H; }4 I修复方案：
。。。
- c" Q8 r+ j- a# ~7 y3 [
& V" Q9 q+ Q5 V) B7 S! ?/ O
厂商已经确认
$ Z, t& B& Y, |; _$ ^3 T
[/td][/tr]
- L& Q- [+ S9 r& B& X& H5 G, P[/table]
) J2 q2 c* ?4 N  ~. M

. Q7 }0 R3 i. N) p, P+ g8 |$ G