之前跟朋友聊到这个用友系统,说是存在很多漏洞,他审计了几个反序列漏洞的,也都发证书了。 自己也定了一个目标,今年搞几张高危证书,简单讲一下通过代码审计获取高危证书过程。
环境搭建
链接:https://pan.baidu.com/s/10V-1Foq6MJp82JDF3NHKxg 提取码:9496
数据库:sqlserver 2016 https://cloud.tencent.com/developer/article/1644863
操作系统:Windows2016
某友系列很多,本次选择了是一套很老的系统了
用友源码安装
下载百度云下载的压缩包,解压压缩包,运行setup.bat文件
选择模块然后点击安装,建议选择全模块安装,这样功能多,漏洞也多
等待安装完成
安装完成后目录(一般默认安装在C:\),运行startServer.bat 启动服务
这样本地环境就搭建后了,方便复现漏洞
debug调试配置
用友本身是有调试功能的,我们配置一下,在审计代码的断点调试
配置文件路径:C:\yonyou\home\bin\sysConfig.bat
将下面的配置填入到虚拟机参数中,一般添加在最前面就可以了
-agentlib:jdwp=transport=dt_socket,server=y,suspend=n,address=5005
这样在运行服务时监听5005端口
IDEA配置
在jar中class文件下断点
cfr批量反编译jar
用友安装后的源码都是jar的,将jar都反编译出来,这样可以很好的审计代码
工具地址:https://github.com/leibnitz27/cfr/releases/tag/0.152
@echo off
color 17
if "%1" == "" (
for /f "delims=" %%i in ('dir /s /b /a-d /o-s \*.jar') do (
echo 正在反编译 %%~ni...
title 正在反编译 %%i...
java -jar cfr-0.152.jar "%%i" --caseinsensitivefs true --outputdir "%%~di%%~pi%%~ni"
echo ----%%i已经翻反编译---
)
goto :end
) else (
title 正在反编译 %1...
java -jar cfr-0.152.jar %1 --caseinsensitivefs true --outputdir "%~d1%~p1%~n1"
echo 反编译完成.
goto :end
)
echo 反编译完成.
@pause>nul
:end
pause
exit
将1.bat和cfr.jar放在一个目录,运行就批量反编译
等待反编译完成,代码太多需要时间有点长
代码审计
开始分析代码前,可以去用友官网查看历史漏洞
通过这些历史漏洞,可以捡漏。
- 因为一个接口存在漏洞,其他代码中也可能有漏洞
- 避免重复挖掘,不然提交CNVD会重复,白费功夫
主要讲我提交的两个sql注入workflowService,PaWfm2
,这个系统sql注入还是很多的,只要用心都可以挖到漏洞
workflowService sql注入漏洞
漏洞代码路径:C:\yonyou\home\modules\webimp\lib\pubwebimp_cpwfmLevel-1\nc\uap\wfm\action\WorkflowService.java
在WorkflowService
类中,将proDefPk
参数传入getWfmXmlByPk
方法
跟进getWfmXmlByPk方法
看到使用到了 getProDefVOByProDefPk
带入pk参数
getProDefVOByProDefPk
是 接口类IWfmProDefQry
定义的方法
在WfmProDefQry
类实现getProDefVOByProDefPk
方法
public WfmProdefVO getProDefVOByProDefPk(String proDefPk) throws WfmServiceException {
PtBaseDAO dao = new PtBaseDAO();
SuperVO[] superVos = null;
try {
superVos = dao.queryByCondition(WfmProdefVO.class, "pk_prodef='" + proDefPk + "'");
}
catch (DAOException e) {
WfmLogger.error((String)e.getMessage(), (Throwable)e);
throw new LfwRuntimeException(e.getMessage());
}
if (superVos == null || superVos.length == 0) {
return null;
}
return (WfmProdefVO)superVos[0];
}
getProDefVOByProDefPk
该方法 直接将proDefPk
参数 传入dao.queryByCondition
查询
PtBaseDAO
类中 queryByCondition 方法下断点
开启断点调试查看proDefP值传入数据库,dao.queryByCondition
连接数据库查询
D:\CodeQL\databases\nc\home\modules\webbd\lib\pubwebbd_pubLevel-1.jar!\nc\uap\cpb\persist\dao\PtBaseDAO.class
strWhere = (isnull(dr,0)=0) and pk_prodef='11';waitfor delay '0:0:4'--'
可以看到 sql语句 查询pk_prodef字段是使用'
闭合了sql,导致注入漏洞
注:提交sql注入给CNVD 需要跑出数据库名称等,不然会被打回。
PaWfm2 sql注入漏洞
PaWfm2 漏洞产生的原理和 workflowService都是使用了 getProDefVOByProDefPk
导致sql注入漏洞
在代码的54行中,使用了getProDefVOByProDefPk
方法来查询,该方法实现类为WfmProdefVO
WfmProdefVO proDefVo = WfmServiceFacility.getProDefQry().getProDefVOByProDefPk(proDefPk);
跟踪WfmProdefVO
类实现的getProDefVOByProDefPk
方法
getProDefVOByProDefPk
方法 代码
public WfmProdefVO getProDefVOByProDefPk(String proDefPk) throws WfmServiceException {
PtBaseDAO dao = new PtBaseDAO();
SuperVO[] superVos = null;
try {
superVos = dao.queryByCondition(WfmProdefVO.class, "pk_prodef='" + proDefPk + "'");
}
catch (DAOException e) {
WfmLogger.error((String)e.getMessage(), (Throwable)e);
throw new LfwRuntimeException(e.getMessage());
}
if (superVos == null || superVos.length == 0) {
return null;
}
return (WfmProdefVO)superVos[0];
}
getProDefVOByProDefPk
该方法 直接将proDefPk
参数 拼接到sql查询语句中,所以造成了sql注入漏洞
跟workflowService一样都使用了getProDefVOByProDefPk
该方法
直接 queryByCondition 方法下断点
pk_prodef字段是使用'
闭合了sql,导致注入漏洞
strWhere = (isnull(dr,0)=0) and pk_prodef='11';waitfor delay '0:0:4'--'
提交了三个漏洞,重复了一个,两个高危
总结
- 漏洞挖掘过程本身没有多少技术含量,但是总归收获了高危漏洞证书。
今天只要你给我的文章点赞,我私藏的网安学习资料一样免费共享给你们,来看看有哪些东西。
网络安全学习资源分享:
给大家分享我自己学习的一份全套的网络安全学习资料,希望对想学习 网络安全的小伙伴们有帮助!
零基础入门
对于从来没有接触过网络安全的同学,我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线,大家跟着这个大的方向学习准没问题。
【点击免费领取】CSDN大礼包:《黑客&网络安全入门&进阶学习资源包》
1.学习路线图
攻击和防守要学的东西也不少,具体要学的东西我都写在了上面的路线图,如果你能学完它们,你去接私活完全没有问题。
2.视频教程
网上虽然也有很多的学习资源,但基本上都残缺不全的,这是我自己录的网安视频教程,上面路线图的每一个知识点,我都有配套的视频讲解。【点击领取视频教程】
技术文档也是我自己整理的,包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点,电子书也有200多本【点击领取技术文档】
(都打包成一块的了,不能一一展开,总共300多集)
3.技术文档和电子书
技术文档也是我自己整理的,包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点,电子书也有200多本【点击领取书籍】
4.工具包、面试题和源码
“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等,感兴趣的同学不容错过。
最后就是我这几年整理的网安方面的面试题,如果你是要找网安方面的工作,它们绝对能帮你大忙。
这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的,如果大家有好的题目或者好的见解欢迎分享。
参考解析:深信服官网、奇安信官网、Freebuf、csdn等
内容特点:条理清晰,含图像化表示更加易懂。
内容概要:包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…
👋全套《黑客&网络安全入门&进阶学习资源包》👇👇👇
这份完整版的学习资料已经上传CSDN,也可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费
】