万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
详细说明：
万达scm系统登陆框sql注入。
* K& D) }; c% }9 V/ k
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
3 Q8 Z: r, i& |  @

1 g+ y" _3 N2 ?- v500错误。

  X! [* g) K% K# S* k" t) R用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
+ E, H, J# e4 ]4 x- z经过分析，登陆验证的过程应该是：

取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png
3 I" H% n% y: f: Q- n
oracle数据库，存在注入点。@大连万达，你怎么看？
1 N- B- A+ |0 ~$ k' X/ J  nhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png
; \. a, ~: Q. O5 C3 {6 o
系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
漏洞证明：
万达scm系统登陆框sql注入。

, ~2 L+ }2 J8 @' p. qhttp://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
' i  Q- t/ B; r4 n9 M

500错误。

用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
; E0 W. e  U9 S8 R+ J$ ^5 ohttp://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png
' R# l- I& \8 V) M
1 {& H2 {$ }1 d( S5 E
（截图有一点问题）
. T, w4 g& I$ v3 `
$ W, E7 I( ^, v6 }怎么饶都饶不过去；经过分析，登陆验证的过程应该是：
& }7 M* s# b2 w- ?- u* l* b( x
取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。

绕过：
http://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1
+ b. i( M6 M7 d5 v& d  m" ^
! ]1 @  I8 Y9 m% o& t, Y( O
8 }' Q; s% j* R, B+ b% A3 h, Ioracle数据库，存在注入点。@大连万达，你怎么看？
1 U% i1 B2 _0 y* A; Z​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。
( u5 i9 S$ A. q* v& [' @, P9 H" o
修复方案：
/ F7 j, z/ s8 B5 G0 v% w  q) }。。。
/ H; R5 C+ X; g( i

/ t9 j/ p1 C& j厂商已经确认
1 M, e& v2 V6 m; ~: C7 ]
[/td][/tr]
7 e( j- ~# Z( H' Z, g5 J) U4 Z5 x[/table]
9 `3 Y8 g0 P! {" S6 i8 Z$ N7 r
4 z# ~. M2 }; _6 M1 `! V: D( G
  \( p/ J2 f5 {$ ?* h8 `! z