简要描述：万达某分站sql注入。敏感信息泄露。
" I8 ]# e" z/ r$ d' c, s& \9 x详细说明：
& r o J- V% S万达scm系统登陆框sql注入。* e6 ^2 }5 [4 l/ K
0 J6 a. ^; O8 o) _
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
0 p/ N; O* E1 W! y8 h
4 q- ?/ g: o% G; d$ h) C
' d8 Y1 X- f! y! y7 `9 j: b500错误。
! Z. m! C: J7 P- ~/ T1 c
0 D- {! u# @2 p' {$ I) d5 |/ [, H用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。" q9 k) X) P/ Q1 T
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png6 o% S' y0 t/ E' x
截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
$ b) L4 r+ o) E" t经过分析，登陆验证的过程应该是：8 T1 }! H- d/ T
3 w2 b; G! W3 `7 } N7 H取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
q+ E* E; o7 \( \9 y: A, mhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png- i7 E% \0 a! l2 {9 Q& b3 O
: ^3 Y% Y- m0 {6 g
oracle数据库，存在注入点。@大连万达，你怎么看？
& J3 {( }! _( W) E2 e! y6 G: hhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png
/ K( [4 ?/ |" [- r" k0 i/ v. v; l: q4 I" H6 D
系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
_/ @; H* F, Y4 [* ?1 T7 w% f; J漏洞证明：1 r: k m8 B- D* `# z- ]6 ?
万达scm系统登陆框sql注入。
# I" d% Q3 w: P% D1 w3 n/ O; G9 H O7 A
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
* V( Z' \/ ?4 |
) L; X7 F+ g( d' F; p8 V7 C" g- ?! S8 c5 v- S$ I( w4 C2 s1 M
500错误。
' j5 m% x# o0 u8 z6 Q, C+ e: U5 `, M4 B- @0 y" a, n# }
用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。; x: {. g D- y; ^5 A
http://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png2 [" y, V, X2 g! m0 l
: C) y7 F( s0 u- J) U8 v
6 L- Z+ W2 F/ ~/ K% p（截图有一点问题）
" U1 M; |4 C3 X V6 m2 S. k. ?( P6 U: T! C$ D# z
怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
0 f4 }0 v" z9 r4 M% B- R, @2 a6 t `9 m
取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。0 U" o! [- @- ?% v2 T( I
2 k/ |! q' d( H
绕过：
- ~0 i! l+ W- R7 whttp://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1
7 m8 G8 i/ J- y* k) Z! H L" |9 a) I! W$ T
: e6 r1 a& p' B7 h' z
oracle数据库，存在注入点。@大连万达，你怎么看？$ [1 Y# f. O, f4 f0 i
系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。1 y, F9 X' e; a3 j' j8 b. _
- }, A/ Q6 k, X
修复方案：. S5 B# u% b% [
。。。
* `( @) O6 {. D1 S2 u7 x6 _' u2 c" Z3 S, @. i
& c* t: N: V5 y) B* P7 c3 N
厂商已经确认0 ]2 L- n' E' }- N, y
) }; l5 h2 P$ g; Q$ @
[/td][/tr]
" s. R2 R7 h! j' f* [7 y' t/ c[/table]
, B3 k. o( \ u( h9 }- G
5 c' p1 N" v0 J" r0 i
+ v- O6 j8 W/ t% T) r |
发表于 2013-3-24 20:16:41
收藏
支持
反对