万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
详细说明：
万达scm系统登陆框sql注入。

# H$ I, `  S, V$ Uhttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
6 n0 E( O. J$ }

500错误。
# ~8 P( q0 `* z5 P
用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
! V- C: J" Q! f% l' q1 B经过分析，登陆验证的过程应该是：
* Z# k- N, C1 w( t
2 D7 h, D8 ^# |) K4 Z. [取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png

' R; T, X9 E: H  c- doracle数据库，存在注入点。@大连万达，你怎么看？
( f$ q! ?2 ]$ G% i# ]" Shttp://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png
' _& ?1 `; Y5 x1 E5 Y- u1 b" u) W& v
6 o) k/ h+ t! s& R系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
; }" {+ g8 k% u* T2 E8 M% y, G漏洞证明：
# T, |" ?) g) n万达scm系统登陆框sql注入。
6 s) U5 u7 F  e( o$ a/ T/ [- C" L1 I1 G
, S- O3 n/ \9 vhttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27


/ o2 ^9 y' e2 h( Q( D# r500错误。

用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
  h9 F9 |6 V' a- shttp://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png
( e$ ]7 n; i) |- h2 T
, `8 H5 V( ^/ K4 W% _2 w$ I2 J
0 h' a; q$ i9 [/ G: u  M  ~; C/ q（截图有一点问题）

怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
/ o% @  I* V8 |4 `; |
, O/ ^% Q1 J8 t+ I9 d. q4 Q取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。

绕过：
6 A$ Q; t( I4 P% C) ^9 Uhttp://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1
; I% T/ A8 V% d/ d8 v4 p3 l5 f1 p
7 L! X8 d: ^4 j* f
$ Y, i  w/ A' {oracle数据库，存在注入点。@大连万达，你怎么看？
$ z" r, G3 ?) W- u7 {​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

修复方案：
。。。


厂商已经确认
1 ~* o9 f" i3 b9 {9 f
[/td][/tr]
[/table]


. u; e; v0 \- y- D