万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
' f- l5 w2 N4 E+ M1 N% ?1 F* V详细说明：
万达scm系统登陆框sql注入。
& `4 j4 K, h/ }( \5 n% ?
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
: \& Y+ b  Z0 _5 _. I

500错误。

/ a$ ]/ p7 D* Y- o" ?8 M; s% J用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
# S& f3 x& H! r9 B9 o经过分析，登陆验证的过程应该是：
8 Z1 p- e; {6 v+ V/ V
取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
. P/ @  x; J: s. b- b( i& D5 [http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png
) a$ C( c: C: z8 \
oracle数据库，存在注入点。@大连万达，你怎么看？
0 i& u8 @* q* L' M( b& m8 ^  hhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png

系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
1 p( e3 c- [4 d9 U& {漏洞证明：
$ {7 E/ e8 }! @2 |; X: U万达scm系统登陆框sql注入。
! Q! J4 l" g8 t% g  `
& P. K1 l( j$ [& yhttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27


5 ~/ D. J1 L* j# R4 d; n7 j500错误。

/ b8 l; b% [4 d4 b8 s用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png

6 j6 l0 J, w6 }( u5 O/ \5 r; h
（截图有一点问题）
: g. c8 p) d- u* \0 v) X1 d
+ s6 m9 W8 ]+ y怎么饶都饶不过去；经过分析，登陆验证的过程应该是：

: ?  ]6 a3 }1 B1 g* ?取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
! Z9 h  N1 P! i& h* ^/ o
绕过：
http://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1


4 W' N, ^8 Q* u! loracle数据库，存在注入点。@大连万达，你怎么看？
​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

) S$ G6 V7 f* F+ D修复方案：
5 z$ U! y* T- K& u8 X: v。。。
) X! s( e" }, b1 {7 d5 X5 @. m) ~0 e

厂商已经确认
2 }, ^! H: e' b9 n3 H5 m4 a; q2 H
8 _. e. T+ k7 N8 ?& f+ a7 A[/td][/tr]
% `; V" j# c: Y+ r5 W[/table]

  [" s8 c; @6 j" e  Y$ q; E
7 s, m0 c" d! d9 W