万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
! @) k1 A- A% ]% e3 P' i! i详细说明：
万达scm系统登陆框sql注入。
- v( @/ b7 W4 Y& }' }
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
6 ~/ Y6 w- e# ~" T2 Q- t6 L
2 z/ _, c/ H& \, c9 l) ]2 _! Y. b
& X1 P9 r$ G9 [( Z500错误。
8 h7 T; _  z0 m+ \% W% D6 ]& W5 S; O
9 I2 T4 e7 j  \$ J/ ~, M用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
/ V$ X, D% g7 n  v0 B% a1 L0 y7 thttp://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
+ [& p9 D5 l  C3 e* e& J截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
2 ~3 S& X3 C; L: k: D' l* \# z经过分析，登陆验证的过程应该是：

取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
3 Q" ^+ V, {. f  |- Hhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png
" M8 X$ M0 B; d
# N- L( o8 q/ W2 c. x+ Ioracle数据库，存在注入点。@大连万达，你怎么看？
http://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png

系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
' _5 {, h; q" B0 m7 ^漏洞证明：
% p3 P3 N' e, t2 v3 e万达scm系统登陆框sql注入。
  R" P; X" W4 `( C5 n1 v! w
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
1 U# j7 ~; B1 C, f
) U( T# j& s' G
500错误。

- B! J$ G: n( `! ~" \5 H用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
9 _; |  `1 U2 y4 s3 v1 @! zhttp://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png


, p5 u' J( s6 Z- @. q（截图有一点问题）

怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
! V* V( B8 |) K; t7 ~
取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。

8 }0 e1 C( B+ j; F绕过：
http://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1
$ u+ w8 A! B& C. R  _. X0 ^2 ]

oracle数据库，存在注入点。@大连万达，你怎么看？
5 g* N1 s+ R' k- W  f/ N4 u​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

修复方案：
。。。

; l& t% J2 _3 e+ H: N# P
厂商已经确认

[/td][/tr]
% M2 M# r4 g$ l! c' |7 y[/table]
" k4 r, {& [% T. X/ d2 l8 V0 U

$ F. U3 S: T1 C3 K# B7 i1 n