万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
详细说明：
万达scm系统登陆框sql注入。

% P) n5 Y3 L; r/ x+ dhttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27


% J3 E. U$ m2 O+ i& U500错误。
" T& u4 y( t8 V$ D0 t
用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
6 u, y) \( _( f: H& l! m0 d& ^) H9 Q# m3 i截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
+ y1 n" s2 O8 |经过分析，登陆验证的过程应该是：
* J: d- W) f( ?$ t1 r" W$ k. y
取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png
2 t" \3 ^" A, ?+ @% P7 ~1 M
oracle数据库，存在注入点。@大连万达，你怎么看？
http://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png

系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
漏洞证明：
! z6 f# W2 z3 }( e万达scm系统登陆框sql注入。
! G* [! ^" @* _* \
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
! E1 T/ k; i! k7 s
7 [, U' J( }$ V" N6 ]# D% O
+ [2 x: X/ P+ z8 _4 p8 o( B# W500错误。
9 P3 V, Z; M$ e* i! D' ]6 z
, u# @, g6 e) @3 J+ E$ i用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
  K4 D6 s6 `# N5 i$ }+ w% k8 N3 Shttp://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png


5 o9 G( v8 P/ L（截图有一点问题）

7 e! b) l( R4 c* e怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
% D2 z- F! ^& N7 ]2 _2 x6 }
取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
# H- o; a4 m, m$ a. P7 z" r
6 Z; H8 T% z8 y; m绕过：
http://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1

: f  c7 V0 K  q! l3 f1 x
8 y2 b5 ]- j% q' [: z2 M7 {) moracle数据库，存在注入点。@大连万达，你怎么看？
​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

修复方案：
  Z8 y  D  @+ l6 K。。。
9 A8 ^2 U; V5 G( R3 L( R; t
, T3 s' B. \' O/ s
% h0 h$ g- K4 B5 h厂商已经确认

[/td][/tr]
" J# N0 u+ s& z" U8 M" B[/table]
2 X; {/ t& j- l
# }% r# W9 \! ~! W5 H! k$ P8 ^- G