漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-087208
漏洞标题：金蝶某重要系统sql注入漏洞（多参数配合）
相关厂商：金蝶
漏洞作者： greg.wu
提交时间：2014-12-15 18:40
修复时间：2015-01-29 18:42
公开时间：2015-01-29 18:42
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-12-15： 细节已通知厂商并且等待厂商处理中
2014-12-16： 厂商已经确认，细节仅向厂商公开
2014-12-26： 细节向核心白帽子及相关领域专家公开
2015-01-05： 细节向普通白帽子公开
2015-01-15： 细节向实习白帽子公开
2015-01-29： 细节向公众公开
简要描述：
最近很喜欢从已公开的漏洞中找漏洞，看看哪些厂商修复的时候不够仔细认真。。。
详细说明：
缘起这个漏洞 WooYun: 金蝶网重要分站sql注射漏洞 ，之前报的是显错注入，乍一看厂商好像已经修复了，实际测试之后发现还是可以盲注的，但是需要多参数配合进行注入。
漏洞所在分站：http://reg.kingdee.com/getpass.asp
产品注册页面，表单提交的数据如下：
由于不知道真实的产品序列号和email，所以没办法定位条件为真时的数据，刚好有两个参数，两个参数都存在注入，所以可以让userid永真，payload为userid=1212121'%0aor%0a'1'='1，这样email就可以正常进行基于and的布尔盲注了。
看图：
网站有狗和360webscan，所以sqlmap跑不了，只能手工作业了。
判断用户名长度为3：
然后通过
email=qq%40qq.com'%0aand%0aascii(substr(SYS_CONTEXT('USERENV','CURRENT_USER'),1,1))=1%0aAND%0a'qX'='qX
逐位判断，不多说，大家都懂的。
漏洞证明：
以上，求高分
修复方案：
你懂
版权声明：转载请注明来源 greg.wu@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2014-12-16 11:51
厂商回复：
已经通知研发修复，目前漏洞页面已经删除掉，后期会更换新系统。非常感谢给我们反馈漏洞。
最新状态：
暂无