万达供应商系统SQL注射漏洞

admin

简要描述：万达某分站sql注入。敏感信息泄露。
5 ^4 X: p% {+ Q+ z% [4 K, [详细说明：
& T/ H, Q! i# l' E+ `. G万达scm系统登陆框sql注入。
. z! k& W) }7 ~4 B
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27

1 P$ Z8 q4 J7 h5 G
6 a* x  M8 y$ n9 K9 W500错误。

用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/201332317223677547.png
5 H& Q$ g( i" ?+ u7 L2 V截图有一点问题，用户名，和密码输入' and 1=1 --可以得到相同的提示，可自测。）
经过分析，登陆验证的过程应该是：
5 m- ~3 Y$ F$ S0 V: s- ?1 ]
取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。
8 @- q6 f4 R( ]$ n! Fhttp://www.myhack58.com/Article/UploadPic/2013-3/201332317233886589.png

0 X. _/ o1 l' x, @' r. s) Eoracle数据库，存在注入点。@大连万达，你怎么看？
http://www.myhack58.com/Article/UploadPic/2013-3/201332317241777393.png

系统里有万达的供应商资料什么的,提交数据的地方随便输入'，提交500错误。没深入。目测可shell。
漏洞证明：
# k5 X3 p/ Y& K8 C) y4 ~) A万达scm系统登陆框sql注入。
1 g  x" I8 V# n9 {; i
http://www.vans-china.cn/LoginUser?USERNO=%27&PWD=%27
- S, S: M; O; x4 k9 f9 d

% z5 U/ v: l* ~) L$ ^+ O500错误。

1 K  _( b; d$ ]- W3 Z用户名随便输，提示没有该用户;USERNO=%27 and 1=1 --&PWD=%27 and 1=1 --提示密码错误。
http://www.myhack58.com/Article/UploadPic/2013-3/20133231728465694.png


（截图有一点问题）

怎么饶都饶不过去；经过分析，登陆验证的过程应该是：

9 u0 V* Q5 Y* c" @- V取用户名查询数据库，有该用户，再用该用户密码和输入的密码进行比对，相同则登陆成功。

: U! [9 z# X$ v  r$ x绕过：
/ [6 h5 F0 a( L& ^http://www.vans-china.cn/LoginUs ... 1%27=%271&PWD=1
- {2 s' Y, i/ W* p: }' h3 H

9 o* B1 l! S. Eoracle数据库，存在注入点。@大连万达，你怎么看？
  n/ Z# ^6 A: P+ H8 u  Z​系统里有万达的供应商资料什么的，有发布公告，没深入。目测可shell。

修复方案：
$ O% E, x; x* i4 B; q1 i6 Z7 t。。。
4 d/ Z1 O, h9 ~5 q  S* K! N! I

* @  z) z$ t/ u厂商已经确认
" J' Y: R. ?& g2 O6 E
[/td][/tr]
[/table]

4 ~& @. w& h, _4 R% a5 {
$ Z) J0 {8 \( q