万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
详细说明：
1 {3 ]& f4 N5 H0 v0 u万达scm系统登陆框sql注入。
. `2 ^- R+ f1 C& f& B
  F. u" t4 o( O* ^- Vhttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27

0 }8 M: U+ z3 t6 W5 ^/ ]6 d
500错误。
4 A9 _- I" {3 b! Q8 l' P
5 |  c9 t7 m5 x3 t用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
. b6 F/ `2 H4 \1 D5 k9 Ahttp://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
4 C1 F9 H3 C# N经过分析，登陆验证的过程应该是：

取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png
# ?# f0 o2 I' m
& O# R2 D: j* Z3 c2 `( f# Xoracle数据库，存在注入点。@大连万达，你怎么看？
http://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png

系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
漏洞证明：
& [$ b; k5 k7 f# y: S, a万达scm系统登陆框sql注入。

http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27


1 |1 U2 N7 {% ~2 J- Q; ]500错误。

用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
$ |, ^. N4 _7 B  `http://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png


（截图有一点问题）

. l4 s( M  ^% v" o  ^+ }- c" @怎么饶都饶不过去；经过分析，登陆验证的过程应该是：

6 D2 z  n. p3 C& M4 P- Q. D- J! v取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
' V; q0 S& @& m9 P( T
绕过：
http://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1
. C1 W7 g9 ^' m. J
5 J3 z5 |% z& V4 P( `* ?0 l
oracle数据库，存在注入点。@大连万达，你怎么看？
7 {' C% o( T) Z​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

/ j2 P$ T' \# K* b! j! a0 g修复方案：
。。。
6 U$ o% B4 j' z" `

1 W+ K0 L; ?1 M2 ~# H厂商已经确认
5 W% b6 v" s1 \, ?/ l8 ~) \
[/td][/tr]
6 T( }# g0 n& |2 Y" u: u[/table]
1 G) Z, }2 ^2 ?' D/ R
8 H9 R# n( X, Z8 R3 p& R6 s% H