当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-049904

漏洞标题:大汉版通JIS统一身份认证系统系统多处SQL注入

相关厂商:南京大汉网络有限公司

漏洞作者: wefgod

提交时间:2014-01-27 09:36

修复时间:2014-04-27 09:37

公开时间:2014-04-27 09:37

漏洞类型:SQL注射漏洞

危害等级:中

自评Rank:15

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-01-27: 细节已通知厂商并且等待厂商处理中
2014-01-27: 厂商已经确认,细节仅向厂商公开
2014-01-30: 细节向第三方安全合作伙伴开放
2014-03-23: 细节向核心白帽子及相关领域专家公开
2014-04-02: 细节向普通白帽子公开
2014-04-12: 细节向实习白帽子公开
2014-04-27: 细节向公众公开

简要描述:

只是冲着数量来的。后台SQL注入,有点怀疑是实习程序员……临时工的作品?

详细说明:

后台SQL1
第一个先拿一个麻烦一点的来演示,后面的同理
需要有应用管理员或者系统管理员的权限登录。
/jis/manage/datasbase/que_datasbase.jsp

if (que_keywords.length() > 0) {
strSqlCondition.append(" AND vc_collocatename like '%" + que_keywords
+ "%'");
}


为了配合工具利用,需要先新增监听管理:
http://management.ysx.gov.cn/jis/manage/datasbase/opr_datasbase.jsp?fn_billstatus=A&

image025.png


只要是公网可以访问的IP,而且用户名、密码是对的就行了。否则会提示无法连接之类的

image027.png


添加了之后就有作为标识用的字符串出来了
在搜索框内输入' and '%'='
页面没有变化

image029.png


输入' and '1'=',页面变化了

image031.png


带上cookie丢工具吧
Sqlmap配置data的时候这样来比较好:--data "que_keywords=' * and '%'='"

image033.png


image035.png


后台SQL2
jis/manage/app/que_application.jsp

if (que_keywords.length() > 0) {
strSqlCondition.append(" AND vc_appname LIKE '%" + que_keywords+ "%' OR vc_appmark LIKE '%"
+ que_keywords+ "%'");
}


权限要求同上
照旧,搜索处输入' and '%'='

image037.png


' and '1'='

image039.png


工具利用方法类似上一个。
后台SQL3
jis/sys/user/que_userginfo.jsp
类似上两个漏洞

if(que_keywords.length()>0)
strSqlCondition.append(" AND vc_usergroupname like '%"+que_keywords+
"%' OR vc_groupallname like '%"+que_keywords+"%'");


搜索输入
' and '%'='
搜索出所有结果:

image041.png

漏洞证明:

后台SQL4
jis/manage/role/que_approleinfo.jsp

if(que_keywords.length()>0) {
strSqlCondition.append(" AND vc_rolename like '%"+que_keywords+"%'");
}
if(que_webid.length()>0) {
strSqlCondition.append(" AND i_webid = '"+que_webid+"'");
}


输入' and '%'='

image043.png


' and '%'='1

image045.png


后台SQL5
jis/manage/log/que_log.jsp

if(que_keywords.length()>0){
strSqlCondition.append(" AND vc_operatecontent like '%"+que_keywords+"%' OR c_userid like '%"+que_keywords+"%' OR vc_modulename like '%"+que_keywords+"%' OR vc_state like '%"+que_keywords+"%' ");
}


搜索输入
admin%' or '%'='
出来全部结果:

image047.png


改为admin%' and '%'='
则只出现admin的日志:

image049.png


后台SQL6
jis/manage/sysview/que_sysview.jsp
输入fgj' or '%'='

image051.png

修复方案:

厂商结合实际看吧

版权声明:转载请注明来源 wefgod@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2014-01-27 16:27

厂商回复:

非常感谢您对大汉产品的关注以及对产品安全方面的指正,问题已跟进处理

最新状态:

暂无


漏洞评价:

评论

  1. 2014-01-27 10:17 | Passer_by ( 实习白帽子 | Rank:97 漏洞数:21 | 问题真实存在但是影响不大(腾讯微博Passer...)

    碉堡了

  2. 2014-01-27 13:17 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    @南京大汉网络有限公司 今天放假了?

  3. 2014-01-27 16:58 | 在路上 ( 普通白帽子 | Rank:193 漏洞数:13 | 在学习的路上、在成长的路上...)

    @wefgod 现在发漏洞,人家会骂死你的 呵呵

  4. 2014-01-27 22:01 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    @在路上 我错了。没考虑到,哈哈