万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
详细说明：
万达scm系统登陆框sql注入。
5 T8 g6 R' x2 G4 q+ M+ Z
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27


: q0 {! L6 R8 x5 _1 T  w9 z2 E500错误。

用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
; P) w7 b; Z6 i7 Q经过分析，登陆验证的过程应该是：
3 |! U" s' g* V  i3 I
$ c9 B8 p+ t0 Q0 ^取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
# V2 }; N0 T- h; V5 L5 |. [' r  \http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png

oracle数据库，存在注入点。@大连万达，你怎么看？
http://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png
) C. \" @# b) n6 n+ H. G, \
系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
2 t: C6 l/ j* n& t2 X: R! k: f- z漏洞证明：
8 r0 S% O/ @7 ]& b9 N: V# _万达scm系统登陆框sql注入。

http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
1 p% u3 p( c1 M) r1 k0 Z$ v

" A2 {# l/ H0 q# j! n! S500错误。
8 k$ ~  ?) V# G2 L" O6 m
4 C, X( R6 i* A# v$ ~% i用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png
" z( \; [, \4 Z6 z3 n- G/ O
" M) G4 ~3 v4 D: R7 [; \7 N! A9 f
$ I8 o' b1 h# U' V  I* H! V3 d7 z! r（截图有一点问题）

% v. J0 q7 w. ^4 I$ Z; r怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
3 I$ @" k1 z3 U, M
8 O2 S0 G* K. _取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。

: F' }. w- ?& k9 b绕过：
http://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1


5 B0 w+ a; Y; G7 j  eoracle数据库，存在注入点。@大连万达，你怎么看？
​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

+ j6 s9 F5 Z9 D; Z' T( O& @4 V* S修复方案：
。。。


7 n' g# F6 S! A4 _厂商已经确认
# u. {5 N  A  R+ S4 o. p# z$ ^
! p  Q9 E! o! d, \' `[/td][/tr]
! }! U( n6 Y+ k4 C5 ^% R$ `4 _: ?  `[/table]


# t# \4 c! d/ @4 W3 I