万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
详细说明：
5 a; Z# e( G; N万达scm系统登陆框sql注入。
% |6 i! Q0 y7 b) ~1 q1 e- S# n# z
2 c+ ?4 z0 X$ m; A4 t5 Q+ V( |http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
9 ^8 V% j9 A# [! O

500错误。
7 {, z4 r- L- J7 t, F
用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
# e. u. x6 o7 D: s) A3 v) g经过分析，登陆验证的过程应该是：
' }% A9 j1 K% O1 D8 N" Y) f8 h
取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png
9 \5 x9 n* b' a* Y% R+ `3 u) T( H
2 @$ H2 y9 t0 k. ^4 joracle数据库，存在注入点。@大连万达，你怎么看？
http://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png
0 k+ n, V% J0 h9 T" V/ r
系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
, l0 V3 i! J0 j3 ~4 r2 Q漏洞证明：
7 m+ y; b) j  u5 N" Z万达scm系统登陆框sql注入。
; w0 P3 F5 M3 R3 q& r2 E
" t& ^/ N! G# l. V; F" S$ dhttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27

( F. S: Q9 h; w8 ?3 N+ |8 I
1 H6 t3 E  y4 J6 c$ D; l- i500错误。
/ c& g9 O' K$ R7 M7 ^, X
用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
& m4 R9 J  n8 d9 I2 O2 }2 hhttp://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png
% l* \% [) }* X. X

（截图有一点问题）
; i& _. T9 X0 B  e
怎么饶都饶不过去；经过分析，登陆验证的过程应该是：

9 B7 o, |7 _4 P6 ?4 M% S, \0 `取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。

绕过：
http://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1
0 k# L% u$ C! d
8 a; U$ v, ?9 p8 f! k
oracle数据库，存在注入点。@大连万达，你怎么看？
+ T9 O7 i! n2 v; `5 m: M) |9 `* _: ^​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

  ^# r! Z0 T' z  m% j0 F修复方案：
- Y1 \$ I& K5 T$ G。。。


* U! Y; b/ R/ V7 A7 n- R厂商已经确认
# `3 f5 C1 P# I# `) o& {; x8 Q: H) \
. d& V' S0 R" b; Y: F5 B1 P& d[/td][/tr]
5 T4 ~: i0 b7 o( B' \[/table]

2 x) \: }1 ]* D# g/ f, C