万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
, b2 y! D+ i4 [! Z% e8 g详细说明：
万达scm系统登陆框sql注入。

http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
; W1 Y5 n! F5 F
8 h0 g1 G6 b, I& A2 Z9 z
; x3 l/ s2 f0 M6 s500错误。
9 h( m4 x! T3 y* E& C% X
% E$ c5 b) l3 \9 v用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
* v3 o, a8 o  mhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
) }& T3 T5 |/ X: ^+ U: H" N8 Q" Q截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
+ _7 u' K. V* f1 {5 c4 f: r经过分析，登陆验证的过程应该是：

* W0 x: J$ o) w. H( d9 U8 g3 v取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
, Y; S- S$ {3 j& }http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png

) t4 q; w$ W7 C, X0 Roracle数据库，存在注入点。@大连万达，你怎么看？
, v2 v& ^; ^" q6 {$ i  ?http://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png

系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
漏洞证明：
万达scm系统登陆框sql注入。

http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27

5 ?$ i4 X4 [1 F! B( [9 V
500错误。
0 `5 u# W& A: j$ v' `
用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
/ u) C! ~7 y+ p$ d& m" Z+ @http://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png

  T( h0 ]4 E: D  G% m
（截图有一点问题）

- x4 s, T$ H- R' ]% X怎么饶都饶不过去；经过分析，登陆验证的过程应该是：

2 D, S; \0 m" o3 _! [取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。

6 I% Y1 ]3 u$ V( h, `" K' b7 u绕过：
http://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1

3 S0 P3 S  ]) u/ I( @8 ^
* S# E% h# q5 A% n3 l' h, r& Woracle数据库，存在注入点。@大连万达，你怎么看？
​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

' c! s! [3 p- n3 G修复方案：
。。。
4 F5 s$ G0 Y! o: e& U

; }5 S( ^0 E4 O% N厂商已经确认
) h8 r  q& h. c7 k$ b' V. R
' d, i5 n, L' q8 ^[/td][/tr]
[/table]
/ a4 U6 {6 h" ~9 p4 _& P5 a
6 \' _/ q' F+ W# i! w
' [+ X* s  ]3 Z/ G. D