万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
- `7 T& F# @  R4 y4 P) J3 `- s# i详细说明：
万达scm系统登陆框sql注入。

http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27


500错误。

用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
- n- C5 M0 z( a8 u# {! N截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
经过分析，登陆验证的过程应该是：

取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
, I; l  ?# t' Y2 Ghttp://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png

oracle数据库，存在注入点。@大连万达，你怎么看？
http://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png

- u' }0 r+ C2 y5 x系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
漏洞证明：
万达scm系统登陆框sql注入。
5 D6 P8 h' J: K, A
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
5 T9 c0 {9 Z# X! B
! n$ X: a0 [3 \; w- W  O" x. V
% ^( _/ w2 s2 f8 _8 ?/ W: x* u+ `500错误。

用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
1 ?- F: H- m  v5 E) N& E) Chttp://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png
/ c" V8 H0 Q* j, w4 K, F2 c* A
; w. R9 x  p5 }+ {
（截图有一点问题）
# k+ a5 y1 r/ D
怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
, d1 K  z# v+ u, g
$ G5 \' a9 @- u- q# l) P取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。

绕过：
http://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1
5 M! k# H: J. b7 X! T, O6 I% Q

oracle数据库，存在注入点。@大连万达，你怎么看？
​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

0 N+ U2 A( \* e) f. W1 K# A修复方案：
  x9 H' X+ }3 `。。。
9 h. f/ o3 e* R1 G: h, M. A8 ^

$ g: e. a( {0 t& y: c厂商已经确认

0 ?) _$ x) S7 b, g- [$ T: k' k[/td][/tr]
8 W! ^# o" n3 Z' _' S7 u[/table]
2 T- o) _! p; T6 }2 s# v+ z
2 ~7 B$ f  n" L' q3 Z0 c# j! V