当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0156855

漏洞标题：国土资源部某司人事直报系统多处sql注入打包（sa权限支持union）

相关厂商：cncert国家互联网应急中心

漏洞作者： 路人甲

提交时间：2015-12-01 01:56

修复时间：2016-01-18 13:10

公开时间：2016-01-18 13:10

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-12-01： 细节已通知厂商并且等待厂商处理中
2015-12-04： 厂商已经确认，细节仅向厂商公开
2015-12-14： 细节向核心白帽子及相关领域专家公开
2015-12-24： 细节向普通白帽子公开
2016-01-03： 细节向实习白帽子公开
2016-01-18： 细节向公众公开

简要描述：

多处sql注入打包（sa权限支持union）

详细说明：

系统地址：http://**.**.**.**/

QQ截图20151129120405.png


该系统有接口有2处
一处是
http://**.**.**.**/zhtj_webservice_rs/DataUpdateServer.asmx?WSDL
另一处是
http://**.**.**.**/zhtj_webservice_rs/LoginService.asmx?WSDL
但大部分人都过于关注LoginService.asmx，其实DataUpdateServer.asmx也是存在注入的
注入点1#方法DataUpdate

POST http://**.**.**.**/zhtj_webservice_rs/DataUpdateServer.asmx HTTP/1.1
Content-Type: text/xml; charset=utf-8
SOAPAction: "http://**.**.**.**/DataUpdate"
Host: **.**.**.**
Content-Length: 382
Expect: 100-continue
Connection: Keep-Alive
<?xml version="1.0" encoding="utf-8"?><soap:Envelope xmlns:soap="http://**.**.**.**/soap/envelope/" xmlns:xsi="http://**.**.**.**/2001/XMLSchema-instance" xmlns:xsd="http://**.**.**.**/2001/XMLSchema"><soap:Body><DataUpdate xmlns="http://**.**.**.**/"><UserName>admin</UserName><KeySerialNum>1</KeySerialNum><inPackage>AA==</inPackage></DataUpdate></soap:Body></soap:Envelope>


QQ截图20151129120215.png


注入点2#方法DataUpdate2

POST http://**.**.**.**/zhtj_webservice_rs/DataUpdateServer.asmx HTTP/1.1
Content-Type: text/xml; charset=utf-8
SOAPAction: "http://**.**.**.**/DataUpdate2"
Host: **.**.**.**
Content-Length: 383
Expect: 100-continue
Connection: Keep-Alive
<?xml version="1.0" encoding="utf-8"?><soap:Envelope xmlns:soap="http://**.**.**.**/soap/envelope/" xmlns:xsi="http://**.**.**.**/2001/XMLSchema-instance" xmlns:xsd="http://**.**.**.**/2001/XMLSchema"><soap:Body><DataUpdate2 xmlns="http://**.**.**.**/"><UserName>test</UserName><KeySerialNum>1</KeySerialNum><inPackage>AA==</inPackage></DataUpdate2></soap:Body></soap:Envelope>


QQ截图20151129125027.png


注入点3#方法PKExchange

POST http://**.**.**.**/zhtj_webservice_rs/DataUpdateServer.asmx HTTP/1.1
Content-Type: text/xml; charset=utf-8
SOAPAction: "http://**.**.**.**/PKExchange"
Host: **.**.**.**
Content-Length: 379
Expect: 100-continue
Connection: Keep-Alive
<?xml version="1.0" encoding="utf-8"?><soap:Envelope xmlns:soap="http://**.**.**.**/soap/envelope/" xmlns:xsi="http://**.**.**.**/2001/XMLSchema-instance" xmlns:xsd="http://**.**.**.**/2001/XMLSchema"><soap:Body><PKExchange xmlns="http://**.**.**.**/"><UserName>test</UserName><KeySerialNum>1</KeySerialNum><ClientPK>AA==</ClientPK></PKExchange></soap:Body></soap:Envelope>


漏洞证明：

注入点4#
存在于LoginService.asmx的UserLogin方法，也就是始终都未修复的那个注入，我顺带一提

POST http://**.**.**.**/zhtj_webservice_rs/LoginService.asmx HTTP/1.1
Content-Type: text/xml; charset=utf-8
SOAPAction: "http://**.**.**.**/UserLogin"
Host: **.**.**.**
Content-Length: 361
Expect: 100-continue
<?xml version="1.0" encoding="utf-8"?><soap:Envelope xmlns:soap="http://**.**.**.**/soap/envelope/" xmlns:xsi="http://**.**.**.**/2001/XMLSchema-instance" xmlns:xsd="http://**.**.**.**/2001/XMLSchema"><soap:Body><UserLogin xmlns="http://**.**.**.**/"><strUserName>test</strUserName><strPassWord>123456</strPassWord></UserLogin></soap:Body></soap:Envelope>


QQ截图20151129134725.png


共计4个注入点
开始getshell

QQ截图20151129135830.png


QQ截图20151129135924.png


QQ截图20151129140441.png


QQ截图20151129141103.png


QQ截图20151129154844.png


敏感文件一堆，就是找不到web路径在哪

QQ截图20151129155810.png


就到这里吧，3处注入外加一处久不修复的

修复方案：

参数化查询，或者下线，数据量太大，全是弱口令

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2015-12-04 13:02

厂商回复：

CNVD确认并复现所述情况,已经转由CNCERT向国家上级信息安全协调机构上报,由其后续协调网站管理单位处置。

最新状态：

暂无

漏洞评价：

评价