漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0136330
漏洞标题：泛华核心业务系统前台SQL注入（oracle注入技巧）
相关厂商：泛华保险服务集团
漏洞作者： 白非白
提交时间：2015-08-23 19:53
修复时间：2015-10-10 20:08
公开时间：2015-10-10 20:08
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：18
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-08-23： 细节已通知厂商并且等待厂商处理中
2015-08-26： 厂商已经确认，细节仅向厂商公开
2015-09-05： 细节向核心白帽子及相关领域专家公开
2015-09-15： 细节向普通白帽子公开
2015-09-25： 细节向实习白帽子公开
2015-10-10： 细节向公众公开
简要描述：
如题所述
详细说明：
泛华核心业务系统
http://cbs.cninsure.net/logon/Login.jsp
用户编码栏输入单引号抓包报错
但是直接丢给sqlmap却一直无法识别注入点（bool型，报错型均未识别出）
经过手动测试发现，bool型无法识别是因为原语句条件真假返回的数据都相同：
1）构造bool注入
继续测试发现支持union，字段数为4，但是union查到的数据没法直接回显，通过构造sql条件语句，可以构造出一个bool注入。如下图，改变条件真假，回显不同。
但是设置了prefix和suffix之后sqlmap还是无法识别注入点（sqlmap你肿么了？），于是换一个工具，用了shack2的超级sql注入工具，设置如下：
这样，便可以提取数据了，但是bool型速度很慢，既然报错有回显可以尝试报错注入
2）报错注入构造
依然使用shack2的超级sql注入工具，设置两处如下：
（or后面需要有一个空格，不要问我为什么，这是一个bug...@shack2）
把and替换成or是因为，使用and无法报错：
设置完后，就可以利用报错注入快速提取数据了
漏洞证明：
环境变量信息
数据库（25个）
修复方案：
应该懂
版权声明：转载请注明来源 白非白@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2015-08-26 20:07
厂商回复：
已在紧急处理，非常感谢。
最新状态：
暂无