万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
详细说明：
万达scm系统登陆框sql注入。
  k! v# f& e, v' P
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
; f2 J( J7 U% q; Y: z4 ~. P( i7 M

2 B+ p; `2 Z7 q$ B/ T1 c8 C500错误。
! g+ Q, T/ K) ^7 j* A3 `
用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
经过分析，登陆验证的过程应该是：

: n. a( P' ^- ?/ H取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
$ y# g9 d7 P9 I* P' G3 B4 ehttp://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png

oracle数据库，存在注入点。@大连万达，你怎么看？
http://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png

系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
7 c5 E# O/ a; a. o" M漏洞证明：
万达scm系统登陆框sql注入。
4 c8 p7 u' T+ ?6 i- q0 t
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
* H3 a$ Y; b; @# s5 I
$ D0 S/ ^0 C& W# [3 x
- B+ d& Z0 F& m7 H) ~: S500错误。
+ `6 L) D0 `* _3 i
' U7 O% D; N5 }7 I# G用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png

2 p/ ]$ O" a( i2 g" [
3 x& ~: p5 s' }+ |- F/ S（截图有一点问题）
5 h0 }# ~8 r9 I, F
6 s7 Q0 h/ s6 S) S! K) N4 d怎么饶都饶不过去；经过分析，登陆验证的过程应该是：

# u/ z' y  }2 q; C' Z取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
; s+ D' y, q; O1 d" h6 s5 \9 v
绕过：
http://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1


oracle数据库，存在注入点。@大连万达，你怎么看？
- T! N! B8 a( e: S6 {; u$ G2 }% O​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

! g, V$ g9 w+ L$ i" |8 z修复方案：
$ a3 o6 H- q- b5 I6 |# n。。。


厂商已经确认

[/td][/tr]
6 T) \' g) _1 i[/table]
; _5 j8 f& _. A% M# |$ Z
' g5 R. i$ J# T% h3 s7 M; o
) E2 ]) N% |6 W- O" N3 \  l: v