万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
; V* S$ T: _9 P' K& _详细说明：
万达scm系统登陆框sql注入。
  ~  w& J6 V6 z+ g, j2 V( Q, A6 L
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27


500错误。

用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
1 d" I* R+ {( t$ \http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
经过分析，登陆验证的过程应该是：

9 ~% i: M+ s7 M% J5 Q' e' P# z9 N% k取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png
4 f5 ~& W/ s, O6 P  O) u# X7 ~- B: O
# \4 n* U6 g9 l" Q4 [oracle数据库，存在注入点。@大连万达，你怎么看？
http://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png
4 e5 P. P2 Q+ W5 W( ^
系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
7 b& r. M& n; H" J2 ]& K( X& P漏洞证明：
% ]# ^* M! @& s8 k万达scm系统登陆框sql注入。

http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
+ P5 x  B1 {7 L2 }

& g7 ]( [/ x$ K" H7 e500错误。

用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
1 e# A, P" t) q9 chttp://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png

; X( R, d8 ~6 }, U' C2 @
（截图有一点问题）
4 U2 j2 D3 E- [0 X% O' {) b1 |5 A& s: _
2 r8 ~! f3 b" A1 k; H& v. P怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
* ]/ f8 u7 f4 N- r
4 ~1 Z3 W) ?7 Y3 t0 S' a' V& y取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。

绕过：
  N% R' D5 u1 m" S2 qhttp://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1

1 f) u# A) K( y9 j& W6 j; r
oracle数据库，存在注入点。@大连万达，你怎么看？
# ^7 o% p  I' c​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

修复方案：
。。。


厂商已经确认

; _2 X1 z, r7 M1 N! ~% Z[/td][/tr]
[/table]