万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
详细说明：
万达scm系统登陆框sql注入。

1 y% ]' l+ `  D; Chttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27

7 r4 X% f3 r, R7 _6 R& {2 ^$ S
500错误。

用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
. a% Q8 H2 z3 v8 k& R2 c) rhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
: C: h7 i+ M0 T" x截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
经过分析，登陆验证的过程应该是：

取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
! t# c2 S) c/ Z- x7 u0 s" b+ jhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png

4 A1 o. S, q  U. B' K( v4 j! a  |4 horacle数据库，存在注入点。@大连万达，你怎么看？
http://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png
/ Q+ h4 l: B' d8 Q$ ?& K# t
0 e0 n  J! b5 n8 O5 @; f. J系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
漏洞证明：
万达scm系统登陆框sql注入。
+ `) r- E' U4 b. a$ l
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
0 A, T: I# D, U' B
+ Y: T+ `8 m% ^; ^0 ~$ v
# I: x( a  v/ I500错误。
, p% A$ A* ^! G. a/ ~
# C* w: X4 }8 n用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png
0 F9 `( G2 I; N0 d1 k% j% A! a
3 `& V. W& H; x# P- T
6 v% ~8 v, O2 S/ A4 H  S2 H) p2 t8 R（截图有一点问题）
) ^9 T) B( ]) s% Y, @
怎么饶都饶不过去；经过分析，登陆验证的过程应该是：

; l$ V1 j2 c7 O% X+ j取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
1 R- B) J6 H3 x7 i
绕过：
  O; q% t1 J* a; uhttp://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1
) J' v) v; ]3 r+ P& O5 ?9 S

  r# E* U# F$ v$ C# z6 A3 @oracle数据库，存在注入点。@大连万达，你怎么看？
  a/ z! d9 R; O  H1 Y​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。
! w, M3 ]- O+ ]! q0 {' H. f
修复方案：
。。。

: M1 m& _2 d, A' A) Z
厂商已经确认

, j: `, z, [" R% h/ N* J7 O[/td][/tr]
[/table]

4 y  N0 s  X( D8 t
4 G# ^& @& [( K( M