万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
详细说明：
7 o4 t2 }8 P, h6 c( U) E万达scm系统登陆框sql注入。
, ]4 G* e- @* Y( z8 |# D  C8 a
! `6 O5 V) M8 W  `# o( [http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27

! k: P) f, A; L& C/ ]' C
. U. Q8 s1 @- _, Z- k  s* X500错误。
7 f6 B6 n# I5 l" ^
1 b# V1 R$ y) T0 V用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
6 g) f& H8 |- e7 _) M0 v- p截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
经过分析，登陆验证的过程应该是：

0 [" D4 E3 V  c- q) q4 F取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
) }4 I" V/ r" e' k' \- Z7 lhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png
; W4 i( Q: i1 v; m! o5 d& o
/ ^6 ]# @7 v# qoracle数据库，存在注入点。@大连万达，你怎么看？
0 z% W' F1 \/ [- Chttp://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png

系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
, u2 l/ y8 F8 K  [8 A! ~! M- D漏洞证明：
/ M6 Q# O7 O  u3 U. V! P/ Q& W万达scm系统登陆框sql注入。
; n4 }0 M* _, B6 O4 J
! F% r+ P" a& R) z3 q! whttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
* [$ p8 e/ M( g. N+ N! U: S
- G9 L4 s7 O( ^4 Y1 _
5 i$ i5 p( S, J& i+ ?; a$ K500错误。
; I! o8 s& e( z) V
3 j! l0 I# F8 [& \用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
! C5 a( F7 i7 T) @http://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png
1 t4 W; H* M* ]; o- [) K. w' O
: H+ y( I- r  |& d6 X
（截图有一点问题）

; M" c$ s  A1 |9 k2 B; S怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
7 P$ V& i) G  D- Y" I4 |* D) w
取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
/ c6 t7 D3 R) W; O
5 n2 j' F( R* a0 Z' u! Z" v8 q绕过：
( L; e0 t* t& L" j" _8 Ghttp://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1
6 D2 p# P6 d* O8 ~3 u1 U. v

3 y: I0 ~( P9 s4 Q2 d+ x: n- \oracle数据库，存在注入点。@大连万达，你怎么看？
: c6 P& _- c% g0 j* |6 `' k​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

修复方案：
。。。


; R% Z! r' @0 J; l6 `: A3 H4 ?厂商已经确认
( p* F# k/ y# [% F; m) {; J
[/td][/tr]
8 K4 d1 d  A+ _# f8 }! M+ ^[/table]

% W# {  n7 x1 B: `* U4 z6 i+ Q
. h7 M9 M0 g$ K, W  c, B+ W* y