万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
详细说明：
万达scm系统登陆框sql注入。

# X0 p( n+ K# X- `http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27

; s) |  ?( V9 B: V
- Z- x4 M# Z' u- L: ]500错误。
' i. ]+ [9 \6 d1 Y" `' v( i& P, b
用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
/ |# a5 `( z- {3 i截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
经过分析，登陆验证的过程应该是：
1 @. Q" U% P1 W- Z9 y& w
取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png

oracle数据库，存在注入点。@大连万达，你怎么看？
http://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png

  e0 k! D- K' P  z( C/ b系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
漏洞证明：
万达scm系统登陆框sql注入。
" L+ Q1 T$ e- b: W: u
% x7 ~# d# a- \% b" Z2 R8 Ohttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
. M4 c1 i- K; ]2 D, y

4 q3 _( a% P5 v7 [: c500错误。
1 W: o0 G3 Z0 n; J2 R$ _
, h6 g. v3 M% U' e0 x/ w. s) c用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png

  Z$ p$ ?- @4 c) n( l5 o" E! S
+ P# `9 s+ p# s' X+ Q% W0 j" m（截图有一点问题）
' E8 {7 ?2 t( i( N
怎么饶都饶不过去；经过分析，登陆验证的过程应该是：

6 J  C/ ~& D: O( u3 p8 A取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
5 G. I+ i0 ]/ m# X1 \6 T. I
绕过：
http://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1


2 S. F& K; |2 Xoracle数据库，存在注入点。@大连万达，你怎么看？
5 V& \/ V, t2 g2 @8 J1 Y9 o' C6 [​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。
* T- b, B1 l& F; I* p
6 A5 }+ O5 A2 Q3 f修复方案：
& q8 {. ^/ E, k. E。。。

7 d2 Z0 {; n- e- C
厂商已经确认

[/td][/tr]
4 a: t' A) {7 q[/table]
& U+ T: K0 r5 ?/ m9 }' U8 t3 }# m

. D% b# K9 A* \/ Q+ a; C