万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
+ T1 P+ @1 ^7 r9 y% }详细说明：
万达scm系统登陆框sql注入。

+ ~6 p+ H1 ]3 H% h1 {4 j2 qhttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
3 \% y4 \" h- h4 ~1 d. Q8 W
6 ^' A! _5 y- A
500错误。

用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
. a3 l. x' Q1 x# R% rhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
5 S: P* z% V: f8 X+ M经过分析，登陆验证的过程应该是：

取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png

oracle数据库，存在注入点。@大连万达，你怎么看？
$ Z3 |  @6 H+ T& z6 s7 w  zhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png

系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
7 x' n8 F* M, j8 H# y7 G; d+ F; I漏洞证明：
万达scm系统登陆框sql注入。

http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
: O2 r: K  G. c0 v8 M* ?
+ {) v. X( L3 v$ ?: J$ _4 J! i
* m+ `/ C6 \+ Y" n500错误。

用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
) _: Y  @# w' R5 Jhttp://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png
: A1 |! I9 s2 Z* x; N6 {
/ k% E/ s% A  \6 M
（截图有一点问题）

怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
. w- P2 N& S: ~" F
取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
" D2 C8 Y' B. t7 S7 |3 n( w3 t2 S( X
绕过：
http://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1
) Y! B, k& D& L* v# @8 s

( a7 H/ s* e) k) M! uoracle数据库，存在注入点。@大连万达，你怎么看？
​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

修复方案：
% z! q# l# {/ ?; C# s。。。


& ^# k2 L4 Q9 s( h厂商已经确认
3 S- H3 u# {( E
[/td][/tr]
" k, ^6 f& P* X: X: V[/table]


# u9 P9 Y* d# Y- O& Z