万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
$ s- B' r) N& L% `0 @详细说明：
万达scm系统登陆框sql注入。
5 W& w; x5 D2 a4 U) T# B
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
# O; ?) b2 t8 W

500错误。
( v- J7 M$ u- y* _6 w
用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
/ z' a7 ?4 j/ @( |+ f截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
- C, T5 ?, t) p5 r3 n经过分析，登陆验证的过程应该是：
5 X# L* C7 u7 E# d- {% _4 P4 L
, u" _/ }. }6 Y6 {- w9 d取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
* _% z) W9 k* b! V7 U3 Ghttp://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png
9 k! h/ v' u* K$ c
oracle数据库，存在注入点。@大连万达，你怎么看？
http://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png

系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
2 J; [( U. P8 g3 @+ t2 E6 k& ~漏洞证明：
; }; h: x- B  P" Y3 {, E万达scm系统登陆框sql注入。
$ t" Q  ^/ X6 i5 O2 ?! H2 A
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
* g5 ~, D4 F  F: m, K
$ J3 l' o' L& J9 R
500错误。
9 I) E! ^8 Q0 A% V
( ?% \% a. ~  O1 o; ]8 p+ ~, R. e/ S用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
1 T5 s5 \, z/ p# W9 }http://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png


（截图有一点问题）

; h- E( \0 O) Z& p+ b8 W$ R% G+ y; g2 B怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
+ T9 p* O" d. H; h
. l7 d2 \* v/ O; m取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
1 R. f  J: T, g8 I
" f7 `* b6 g: Q+ u6 A% ^- p# \) c绕过：
http://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1
- y  M, U) x% X0 l/ [6 @

2 a4 a7 d& ^' r4 _5 b  S; a" d5 poracle数据库，存在注入点。@大连万达，你怎么看？
2 z7 W6 B' W9 q9 M) a4 @​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

修复方案：
。。。
% [' U% z  T( o; |* M; _* ^: S
0 Q+ K4 H, o( E  {2 A0 {) D
厂商已经确认
  z% {0 a/ d5 J9 u4 s* M7 `
3 S9 @; Z5 z' s[/td][/tr]
[/table]
8 p# S& L, U2 p  y+ T8 V3 `