万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
详细说明：
万达scm系统登陆框sql注入。

- u5 i: x) y0 E! Jhttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
9 r5 O5 ~- r$ [
- l3 @2 h! L! h3 Q( @5 X
500错误。

用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
: B* Q4 z4 w: ]( R- Zhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
经过分析，登陆验证的过程应该是：

( q) @/ B& \$ v+ K0 N取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png

* u  _  K! C& e& Boracle数据库，存在注入点。@大连万达，你怎么看？
( d" w* R5 l- Ohttp://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png

% [9 I  X6 E6 h& l系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
. r  Y2 {3 Q+ n- p% \漏洞证明：
, }: v; `2 |0 [" D万达scm系统登陆框sql注入。
8 K; S& L4 ~% l/ U
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27

1 j- {3 ^, W% v: F' {* x
500错误。

/ Q, k; \, W+ p- A用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png
8 ~8 i& r- W+ A8 o9 |
( l6 X& V0 ~. A6 _2 {2 J
4 |! z/ j2 h% \7 ~# a* o* g（截图有一点问题）

  q7 d6 F4 I7 d  C" N5 z' n2 A怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
* q8 L% U9 w! i7 N  \( q$ M
取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
' E5 W, h% L( ]1 h9 r3 M6 \! g
* U7 h1 G; U8 R. Q绕过：
9 q: w& K, d" Shttp://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1
& m( r# q5 I# S: x) P
5 f6 w# V8 N7 m# ~# Y
oracle数据库，存在注入点。@大连万达，你怎么看？
# A! t: Z; @  K( J- T6 T* r% W​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。
) D2 n/ B- ^5 c3 s- i4 s8 ~
! i( Z! J0 ]- s2 H6 j6 W( {修复方案：
。。。


( U/ V1 d) J7 |' D厂商已经确认

[/td][/tr]
[/table]
6 Q$ g- u( u4 _. H
3 d4 M6 O8 c! h6 ~! R/ V, Y+ b