万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
详细说明：
万达scm系统登陆框sql注入。

http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27

! d6 {7 X/ C7 }7 |
500错误。
. ?) ?; x: D, g9 W1 m/ S- t: ^
用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
经过分析，登陆验证的过程应该是：

取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
+ J& O! V3 ~) d- h6 bhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png

* A1 h; O' d; O! |- woracle数据库，存在注入点。@大连万达，你怎么看？
http://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png
; w, @0 ?& P0 A1 [
系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
: X9 Z* q7 ^  @漏洞证明：
. Z: P7 H/ v2 b+ P1 o& g0 j! K万达scm系统登陆框sql注入。

" M5 `. K' S- j! z3 K; ^% h! W6 q: ?http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27

0 e) @: @& h/ g
500错误。

0 K" _( E1 a. o( s! E* [9 r* Z8 V用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
" i, C7 H/ a* w$ B! A9 Dhttp://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png

# Q2 N3 G$ ^) _( X, x0 f+ I% {. {/ \6 W
（截图有一点问题）
! v2 K; I- _+ h0 ~7 f
怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
# f; p5 e4 U) f
取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。

3 J2 Y1 h( d% @% Z; N( E$ O; H7 T绕过：
http://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1
9 h0 V9 ?2 K' e5 n! x- z

oracle数据库，存在注入点。@大连万达，你怎么看？
, o) w: y2 O: H- m​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

修复方案：
。。。
( m& Y% y- x  D  ~7 v
- z+ U4 H( m& k
4 P) X7 F2 ~+ b( B0 a厂商已经确认
( K: n, m8 i. D/ X
[/td][/tr]
[/table]

) `+ m" e% _  F* F+ R, k
1 ~* J3 |  }: f. P/ Z2 ?  i& o8 s