万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
6 i3 J5 s/ e% c4 d' S5 |2 k详细说明：
万达scm系统登陆框sql注入。

6 j4 v. j6 E7 K7 Hhttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
& n+ B, U* U1 v

500错误。
* ]7 ~$ S1 w2 v
' _$ _- N) S3 z6 z/ U用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
2 A4 q; ^# J: c  L+ n' \) |, T8 ?! u截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
8 ]. c' {( F9 s" M% c5 E" M/ q经过分析，登陆验证的过程应该是：

取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png
0 A" T( n- N% Q1 Y  v- _7 |
* B- e) A  B. N$ k, r  roracle数据库，存在注入点。@大连万达，你怎么看？
2 N5 m3 A/ L: v" }4 D, w: vhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png

0 B, x2 c; _, O; x0 w系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
' h4 [& C4 L' I% B( }, \漏洞证明：
万达scm系统登陆框sql注入。
# j' G, N) c- y6 r) E+ W
0 q' v$ ?5 t& q& s: ahttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
6 U; t. Q# \6 A' g  ^  W9 i6 J- f

500错误。

用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
* B. I# t$ j, |4 B. G" dhttp://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png
- E" ~. b  n8 j- V) ^

2 d# y2 z3 V  R5 B  W' i4 r' y（截图有一点问题）
; Y& c5 T2 N& D$ u
4 U; A, l& o7 [6 L# H% T怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
% O5 E. d9 c3 ]7 j- Y+ S
; j' s- N  x5 V  P取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
: o- _0 W4 Y; \, W" Z% B7 P) t5 I
; G5 Y# v) L. [绕过：
http://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1
0 F( ?4 B; G5 q+ }; {
8 g$ [  ~! h, T! u
! @5 t8 Q8 m+ doracle数据库，存在注入点。@大连万达，你怎么看？
% n1 U. W- G  H$ S​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。
/ m9 ?) I' x* T9 L3 j/ K# p1 Y# X
, L" s# `) j: [4 x4 U& Y1 Q修复方案：
1 k9 E8 p( s/ R$ z. c。。。


, M6 c5 X6 ^* w厂商已经确认

: M- X! ]# ^) p2 `+ p5 f[/td][/tr]
[/table]
, C# ~  m$ G$ C6 M2 O6 k& _+ |