万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
详细说明：
6 t. j8 Q& S+ \7 B万达scm系统登陆框sql注入。

" n6 E6 t# c" V; ~http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27

6 e) c7 @2 o2 }: x) T
4 `+ s: g- a5 ?500错误。
) x! s+ |0 d0 W& x
用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
" p3 r$ n, ?. t; }! _5 u% @http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
2 }9 c( `! C; V& i" r' y+ X截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
1 S7 b! ?/ x0 r+ V! u1 e" Q经过分析，登陆验证的过程应该是：
" E0 ?! N9 F1 w/ F4 \4 N
1 R( ?0 y- m7 ?" E: b$ d. G取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png
  A% l$ }9 n1 W% E- r) D# d8 |& r
; y, \8 c+ |7 ]* @& [+ X1 Loracle数据库，存在注入点。@大连万达，你怎么看？
http://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png
" [; Z  W- \+ m8 u6 W6 u" g
% @, ~  n8 h* b/ Z系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
& b  C- I+ D# Q  o. L5 t# W漏洞证明：
$ m* d, t8 E7 D- w# p( R( ^万达scm系统登陆框sql注入。

http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
- k( E2 V- s  l

6 b* I& \1 z- r: \500错误。
' `+ E& B; S/ q$ c& e
7 t8 u" L0 `  \+ F+ v# u8 n1 [用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png
+ }* ?$ V) ?+ v3 J

* n/ I8 n1 x- a# u% x（截图有一点问题）
  G- a1 H; [+ d& u2 {* o
0 k8 }, a1 E% z怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
0 i. G0 ~" A4 ]
) I  J$ R; z% X, Z, S取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。

绕过：
http://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1

" I* Y" h8 J; J3 Y( N
oracle数据库，存在注入点。@大连万达，你怎么看？
​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

  h  i5 z9 s6 I- `修复方案：
。。。
, h3 C8 B: i2 d5 A' v" E* {
+ r$ Y5 o$ G  R+ J; b
( u+ T3 u6 J$ L厂商已经确认

/ x) F0 i& o  A; Y2 }. ][/td][/tr]
: @8 J' W7 o- s[/table]
5 a4 `6 u: D$ a* E" S* V1 T' s