万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
1 M% V" l; k+ P) n1 ]# [详细说明：
$ k1 U2 r6 J% k2 i5 V+ u6 W万达scm系统登陆框sql注入。
/ {; j8 J# e) O2 _) i7 R4 B
- g  Z5 w5 y; t6 n7 s% Ahttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
* D0 f7 v+ j6 o  S8 e9 ^
4 ]$ q$ {' h! W2 n
500错误。

用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
; {& |& z6 _5 ]5 f+ uhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
, j- _# s7 t. q4 }; {截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
经过分析，登陆验证的过程应该是：
; E' O7 m% R) z7 W6 _8 R. u
取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png
; J  A+ ?2 P* H6 D* ~  E  k
2 o3 |, U, A; _$ N3 q! k% yoracle数据库，存在注入点。@大连万达，你怎么看？
) e+ R5 ?& ~7 Q- rhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png
, ^. ]' b& x" j  X8 F4 O+ M/ ?5 B
$ P- \7 e" `, }9 q系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
漏洞证明：
万达scm系统登陆框sql注入。

2 {. ~7 A5 N9 T$ ]/ Chttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27


500错误。

用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png


（截图有一点问题）
+ {( B( d0 E! L2 v# ?/ t. m. I2 S+ z
怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
8 ~% T% p0 N& E1 ^' W1 g0 r
- G/ C3 j0 x2 O取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
- |) b* o1 W& ?
1 R) g& q' O: U2 \: n) D绕过：
% V8 u/ m3 ^( K5 ~' U4 S. B. |http://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1


* s1 O) p0 b" w  g: I( R' goracle数据库，存在注入点。@大连万达，你怎么看？
​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。
! o3 }1 `0 f; Q; i( M
  N; ?7 ^; q  m6 C; y修复方案：
。。。
1 v" d+ `2 p2 z+ P  J4 h5 _
1 m  R+ H5 p" m' x3 Q) }) _0 T
/ x, K/ J0 c) S: F( b: W( v* @9 c: F厂商已经确认

[/td][/tr]
2 l8 {" Z# x* t6 I  Y8 X5 Q[/table]
1 _) s8 z1 X+ z/ Z& n' s
% u2 [4 c1 V9 e4 k