万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
详细说明：
万达scm系统登陆框sql注入。
$ v7 |# k1 k- \- ?# |8 E5 u$ o
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
$ r) x+ R5 }2 h# z& G
' @% `1 L9 S. d  z
( l3 Y3 ], A4 X$ i' ]% z( O500错误。

用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
0 a5 X; U' B2 x9 C( i% A截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
! k( c( v; Y& L3 K经过分析，登陆验证的过程应该是：
7 ?* U2 H$ {+ g5 V
6 C, f' P' i* z  K  G取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
9 N6 O/ i. Z+ K6 }http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png

7 l. [$ X8 W" R0 qoracle数据库，存在注入点。@大连万达，你怎么看？
0 i- ~4 n4 j; @4 e% Phttp://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png
9 Q" `5 \0 K" e5 M, e
& t6 a0 h. \+ x4 j% e/ E系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
- s) _+ z( e3 G漏洞证明：
万达scm系统登陆框sql注入。

http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
' Z) }$ b  E' m- ]  }- n; k0 w* J

500错误。

用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png


7 x- S2 f- a( L（截图有一点问题）
: w+ W& x4 X' ~: Z
' T" C  R3 B' W4 l" E7 f怎么饶都饶不过去；经过分析，登陆验证的过程应该是：

取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
% U/ z" ]. x- B; D3 x
! n+ D$ ?  A( J" A' s) {2 E绕过：
7 H7 d9 Z) s9 V; |/ @* \http://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1

' y1 T7 I7 _+ e/ W
oracle数据库，存在注入点。@大连万达，你怎么看？
3 ?6 F! V0 x; T# N​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。
# r1 U7 Z1 x( `' y
修复方案：
。。。
8 @( C) D5 K" @$ \, @+ _

' ~) M+ j7 T2 @/ n/ E) F; W厂商已经确认

& v8 b4 @" f( O8 F; B  O[/td][/tr]
[/table]


( r, ~! o$ Y3 g. u5 w* w' t