万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
详细说明：
万达scm系统登陆框sql注入。

5 o) T4 q  m3 x  Q8 m3 \http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
" N# ?" _- J2 i: M# O1 Z

500错误。

# L/ Q' \, e/ Q# X3 K用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
$ s: {4 s3 \+ P0 A截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
: `, H) ~( U9 B9 V经过分析，登陆验证的过程应该是：
& y3 m0 @! f' C! Z1 }* Y$ w
: ^, _7 [; P! _+ L9 [取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png

oracle数据库，存在注入点。@大连万达，你怎么看？
% X, z6 |% ]' ]0 W/ s7 phttp://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png

5 U" j# F) l! p) Q& y2 d系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
- Y* z, c/ K/ w- R9 }) Y* X漏洞证明：
! [' ~( d7 ?, w# \3 D6 n: E万达scm系统登陆框sql注入。

http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27

0 B0 U( t( n) d7 D. {
9 r. s0 U5 r/ }9 R0 T500错误。
1 ~( L1 i) D. @$ K) v! K- n4 p
用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png

2 P" \$ Z; n2 `8 b( v8 {' V) ^
* b. q, j% i& z8 A9 J（截图有一点问题）
$ y* ?$ }8 X0 t0 |/ V3 I$ r0 R
怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
9 Z; T- d& ~& p& G/ p" j
( g; S# K7 Z# }0 i' I取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。

绕过：
, V) P* \$ c2 T( Khttp://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1
1 Q$ c8 N) \& b, N$ i1 n1 `- l" J
; u$ u( O7 R( j+ `( E/ n
8 G1 {- |& [2 v' B7 Q9 E" Goracle数据库，存在注入点。@大连万达，你怎么看？
​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

  A1 {# x" \- h- l9 _8 d修复方案：
: k$ F  C0 r' {# Y1 h$ `: g。。。
+ N; g' j% E! q

6 T* w3 n3 d  U5 L0 Q厂商已经确认
% ?* s1 S% W* g3 P
, v  N. x6 l; A0 q% j[/td][/tr]
% M2 H; P$ n# n* ^[/table]
- F9 c1 N( K; d8 b3 S7 a