万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
详细说明：
万达scm系统登陆框sql注入。

http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27

* `+ c1 F( |  Q& e3 T1 N1 Z
500错误。

/ y* N# M3 Z, ?% J用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
经过分析，登陆验证的过程应该是：

取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png
7 n& w* f8 s1 D
! W5 b7 D. Q+ D! q6 }oracle数据库，存在注入点。@大连万达，你怎么看？
+ b1 |( E. D# ]0 B5 H9 Bhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png
7 ]* e+ L9 P- ~
" I; y: `' L; u7 b* K1 ^系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
' Z( s8 u6 V# `$ X+ H# o- _3 w* \漏洞证明：
万达scm系统登陆框sql注入。

0 h' W9 F1 \* I3 @9 qhttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
6 Q; U6 `% ?  O7 g4 V2 l+ T

500错误。
9 q* ^0 m" O- m
6 F2 r0 j: z" z2 Y9 O用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
7 h) o- P# U4 i6 {, k7 Uhttp://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png

. F: D. ]* Z; L
（截图有一点问题）

怎么饶都饶不过去；经过分析，登陆验证的过程应该是：

取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
  E# c  [4 U9 x% f4 Y3 {
$ l+ k# e6 w3 z3 ?3 ~+ q绕过：
) y! ?' Z! H( [! |8 J! {6 M$ _http://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1


/ ?2 L% u1 H+ d/ ooracle数据库，存在注入点。@大连万达，你怎么看？
) w/ A/ ]$ I* n6 B  ]0 f5 p! [0 z​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

修复方案：
。。。


厂商已经确认
. _  b- s! ?( ^+ I6 s
' `! `7 W( u- Y[/td][/tr]
% Q& I8 |  d+ X  Q[/table]