中国网络渗透测试联盟

标题: 万达供应商系统SQL注射漏洞 [打印本页]

---

作者: admin    时间: 2013-3-24 20:16
标题: 万达供应商系统SQL注射漏洞
简要描述：万达某分站sql注入。敏感信息泄露。
$ Y* J  w* k& g详细说明：
万达scm系统登陆框sql注入。
# P- E- ?# F7 ?3 j+ g
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27

8 k% e7 b8 J& B
/ k. Z. Z, _5 `5 p. o500错误。
& l! O6 z" n& T6 J4 Y; }. W& E- \
! v& I. n: F0 O3 n% d) [用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
经过分析，登陆验证的过程应该是：
/ ~7 [& O- f5 O, p% B$ c
取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
0 k. \! `8 p: ~: z3 O( W% G3 Qhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png

oracle数据库，存在注入点。@大连万达，你怎么看？
http://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png

; o+ x, D/ t5 n; P; e+ M2 A系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
漏洞证明：
万达scm系统登陆框sql注入。

+ E) a  m# O+ w  v" z; shttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27


! j4 m/ T! w, d' r  A* T8 R2 _500错误。

用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png

$ N1 Y" p5 Q3 d0 l" g- @
（截图有一点问题）

+ D/ C: ^# R# U' L$ l- Q怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
. [# G7 D( e: J! k  d
取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。

% ]* l5 _! F' g2 S2 t绕过：
  n3 k6 g* {9 |  i" A  I8 Bhttp://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1


) L1 W  c/ @2 R# f) a5 Koracle数据库，存在注入点。@大连万达，你怎么看？
7 C5 }7 V2 ^3 z, T0 J1 X​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。
+ H) |- d; I, }  j6 F' P' _
修复方案：
, L' i' m/ O5 z。。。
0 p! M% u6 p7 a8 b

+ u& W. m& m( `1 x6 P7 r/ B厂商已经确认
6 Z( t) V+ |+ T! A
[/td][/tr]
, a4 T7 Z) x( d$ U! t! A8 w[/table]

---

欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/)

Powered by Discuz! X3.2