万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
详细说明：
万达scm系统登陆框sql注入。
# K6 J# h6 M4 C, q3 Y
3 G4 j( L2 }) J1 _8 w, p* Uhttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
; w8 p) j9 y; t
% B- K( s0 o9 s3 I- K  s9 A: R
500错误。
( q& U5 Z# q2 g7 p$ l" @5 G$ R+ b! i; C
用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
( _, K! h( K6 q4 O截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
% ?* E9 C: b# d" r经过分析，登陆验证的过程应该是：

取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png
7 K9 P: k* L: t% k6 d! p3 R
oracle数据库，存在注入点。@大连万达，你怎么看？
http://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png

& l# C4 F" L# g5 q3 v系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
' T& W) B% D1 D2 J4 H* G漏洞证明：
- ?, T9 x5 }* Z2 W- P2 ?万达scm系统登陆框sql注入。

' _# v. G+ H4 @% H6 i6 D# Bhttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27


500错误。
7 ]$ L3 ]3 F3 M) P. s2 ~6 U9 A
& V- h+ a0 h4 U% K& O' e' K用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
* N5 A/ X+ y1 a' qhttp://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png


3 O8 ^1 P* }* L; w1 @（截图有一点问题）
0 d1 J2 z! h! p" c( X1 ?/ ?
6 j- U6 ]; x9 z" r6 K  ?怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
/ q( v( _* `7 n6 L
取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。

绕过：
) Q% L/ E+ z' t1 B' F2 f) R1 hhttp://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1


4 z5 W% C8 o9 C3 Z& q8 xoracle数据库，存在注入点。@大连万达，你怎么看？
* o/ K! L' r$ ]5 B; O4 y+ A​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

修复方案：
。。。
6 v& E% G( ~9 {  J
( r! o( A, H  ^0 d
厂商已经确认
; `1 y; G; {1 ~& C
/ ?- }2 \3 v& o0 V, |4 Q' U[/td][/tr]
5 i& Q4 ^7 w5 K- v  a7 y[/table]
$ w& D/ R- S3 n8 [
) X/ e) O' T- T6 i( y& }
  I: L$ B% u. j+ E. k