万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
详细说明：
万达scm系统登陆框sql注入。

# w: \+ B  v$ Y) m% d- s0 rhttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
: s) R  F' L1 o# J
( ]( A  R! y! h) Y- g) C
500错误。

用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
  i8 z9 Y$ u- W+ s- Q) H( O1 Y: L截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
经过分析，登陆验证的过程应该是：
/ O. H# e, P4 c
; W. n/ l* M6 ?5 A3 \取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
! j& `6 m8 i7 ^http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png

. T8 b1 k9 U: T% @" Y, Toracle数据库，存在注入点。@大连万达，你怎么看？
http://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png
* R( J/ D3 F$ }% s7 Z6 H& ~
系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
% u7 r( X! \; @; Q) H7 f5 v" E漏洞证明：
万达scm系统登陆框sql注入。
. G# `5 D% O# C
. D8 p3 n4 @- G8 S' Bhttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27

1 D+ }- @' I; |* O
/ i8 i/ D+ a# V( g3 w+ E! v1 S500错误。

- d' g" B2 t* E# l用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png

" ~5 ^: b! q4 {! g0 ]
1 p! h$ k% l* b, F7 m9 C, U8 E- F（截图有一点问题）
) x% L/ h+ \+ Y" ?
8 `9 ?% ]& j$ j  I& e7 ^怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
5 I6 Z. X0 J( z( v7 G+ f
取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
/ g: [+ W; k3 {  t  k/ x* V
- W& |; y' {' o+ N% y8 t8 f( x  }绕过：
/ x$ R& g4 @0 V4 ~7 Z+ Hhttp://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1
. q% M2 g% P% m- \* }/ d8 V
2 C# C' z  p5 Q& b" w$ Z
) p8 A0 ]) v3 [; Ioracle数据库，存在注入点。@大连万达，你怎么看？
4 G) J9 z/ B% b9 I) V​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

修复方案：
7 @' ?- w4 N# L) I% g1 B: Z% D$ {。。。


厂商已经确认
# q+ y, ~) E4 b# n8 r
6 w( ?. f. N2 M$ X5 Y4 n[/td][/tr]
, B8 g6 S9 j9 ~# F' w9 x[/table]
5 m4 }  E8 Z6 V  f* y- {4 m
+ {4 o+ D, G- t' R. ^) W