万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
详细说明：
; Y) ]9 m5 {  s2 a4 A$ c万达scm系统登陆框sql注入。

* k7 R) p3 u/ L. [http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
1 Q0 m* Q' |6 b" l3 K" n

* u$ o& h- ~5 ^, V. ?, V  h500错误。
. z1 O8 T/ V1 @; s3 e' y. f
用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
  l1 ^5 ?  X1 {0 i1 ohttp://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
: c+ x1 K5 t: ~2 f截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
& }) y! N9 @$ P2 n经过分析，登陆验证的过程应该是：

取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png
  _8 b0 H; e! c
  `* R0 E  X& [" p; ]' B+ m/ e/ N3 toracle数据库，存在注入点。@大连万达，你怎么看？
, U9 u3 Y6 y" W; H% i. N5 rhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png

系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
漏洞证明：
万达scm系统登陆框sql注入。

& J3 Z: Q; N0 Q( q; W; y# B6 khttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
7 @8 m7 }1 P  j) U

' K# Q) ^0 N! I: V1 B. B, O500错误。

# e( ^7 u/ X0 ~/ [! N3 n4 M+ K用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
" X: K0 C, f" l: ~% [3 ]  uhttp://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png

4 e+ z# |7 A" m: z$ c' v$ e7 D
（截图有一点问题）

怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
  B: u0 P& @6 W1 }& A
取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。

) S; k; p7 t* x: |绕过：
  i! P% j' x& O( Q9 u! Dhttp://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1


oracle数据库，存在注入点。@大连万达，你怎么看？
% r" v3 P  H( h7 g# b/ C8 h​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。
( q( d6 b2 `( I
修复方案：
; l8 \9 F) }2 R! ?。。。
' x5 f1 Z# V' w, W; b* ]

& ^; f' w& \9 b; G厂商已经确认

[/td][/tr]
[/table]
( T) U3 o% r/ f4 K' z
  e7 }7 C* u7 b& b) u* u