x微前台绕过鉴权执行sql

字数统计: 942字   |   阅读时长≈ 3分

/formmodel/mobile/mec/servlet/MECAdminAction.java/formmodel/mobile/manager/MobileUserInit.java/mobile/plugin/ecology/service/AuthService.java继续回到/formmodel/mobile/manage…

0x00 如何搜索

搜这个“public\Wclass\W\w{0,}Action”。根据这样的搜索随机漏洞，有时候会出意料之外的洞，比如这次的任意sql执行

0x01 简单说明

对登录的账号进行判断是否为admin/sysadmin账号，获取Action参数进行判断是否为getDatasBySql参数，然后直接调用getDatasBySql方法

geDatasBySql的方法是获取了http实例并获取http的sql和datasource的参数，并对这个datasource参数进行判断，当sql语句执行成功后就直接将bool参数赋值为ture，然后进行判断如果不为true的话就直接跳出回显空，否则就继续将sql返回的数据进行json数组的转换输出回显。

这时候思路应该很明了了，全局搜索这个类的路径“com.weaver.formmodel.mobile.mec.servlet.MECAdminAction”,但是这没前端代码只有js文件里面匹配到了，而且还是插件的js，但是默认是存在的，所以这个漏洞是存在的，可以构造http://127.0.0.1/mobilemode/Action.jsp?invoker=com.weaver.formmodel.mobile.mec.servlet.MECAdminAction&action=getDatasBySQL&datasource=&sql=select%20\*%20from%20SystemSet来进行访问。

0x02 流程

/formmodel/mobile/mec/servlet/MECAdminAction.java
在37行对登录的用户进行了判断是否 admin sysadmin的权限

image.png

/formmodel/mobile/manager/MobileUserInit.java
首先进行假设， 22行通过http请求获取sessionkey参数

image.png

/mobile/plugin/ecology/service/AuthService.java

image.png

在这个方法里是进行了查询userid的操作，也就是账号权限

image.png

继续回到/formmodel/mobile/manager/MobileUserInit.java
这里的①是空的 还不知道是什么直接跳过进行②步
第②步是通过http请求获取Mobilemode_UserKey参数的值并且去空格
并在第③步进行了userid的查询

image.png

/mobile/plugin/ecology/service/HrmResourceService.java
就是这里，根据id查询是否为管理员的权限

image.png

继续回到formmodel/mobile/manager/MobileUserInit.java
这里的第②就是关键点所在了，是读取了这个str的值是否等于1就进到判断里面进行管理员赋值

image.png

再次回到最初的/formmodel/mobile/mec/servlet/MECAdminAction.java
然后一直往下执行sql语句

image.png
/formmodel/mobile/mec/servlet/MECAdminAction.java#getDatasBySQL()

image.png

/conn/RecordSet.java#executeSql()

image.png

中间代码太长就不说了，有兴趣可以自己研究研究

image.png

/formmodel/mobile/mec/servlet/MECAdminAction.java#getDatasBySQL()

image.png

/conn/RecordSet.java#executeSql()

中间代码太长就不说了，有兴趣可以自己研究研究

image.png

image.png

0x03 可用利用链/调用方式

如何访问当前方法

image.png

寻找getAction
访问方式
url参数

getAction()怎么来的
这里可以自行搜索全局的"getAction"
image.png

image.png

image.png

在这里找到了一处调用的地方
image.png

最终利用：http://127.0.0.1/mobilemode/Action.jsp?invoker=com.weaver.formmodel.mobile.mec.servlet.MECAdminAction&action=getDatasBySQL&datasource=&sql=select%20*%20from%20HrmResourceManager&noLogin=1

image.png

0x04 回顾鉴权解密

在前面的"formmodel/mobile/manager/MobileUserInit.java"地方说过 str不知道是什么

image.png

/formmodel/mobile/manager/MobileUserInit.java#getUser()
这里的userkey是url参数控制的，也就是用户可控的，那么能不能进行一个伪造key呢？

image.png

/formmodel/mobile/security/EDUtil.java#decrypt

image.png

image.png

/formmodel/mobile/MobileModeConfig.java#getSecurityKey
去寻找到他的类，并且跟进之后发现配置文件所在的地方

image.png

也就是这个文件的key值，所谓的硬偏码
image.png

/formmodel/mobile/security/EDFactory.java

image.png

回到/formmodel/mobile/security/EDUtil.java

image.png

回到/formmodel/mobile/manager/MobileUserInit.java继续重复的操作

image.png

官方补丁：https://www.weaver.com.cn/cs/securityDownload.html?src=cn


赏

谢谢你请我吃糖果

支付宝
微信

扫一扫，分享到微信

tag:

    缺失模块。
    1、请确保node版本大于6.2
    2、在博客根目录（注意不是yilia-plus根目录）执行以下命令：
    npm i hexo-generator-json-content --save

    3、在根目录_config.yml里添加配置： 

      jsonContent:
    meta: false
    pages: false
    posts:
      title: true
      date: true
      path: true
      text: false
      raw: false
      content: false
      slug: false
      updated: false
      comments: false
      link: false
      permalink: false
      excerpt: false
      categories: false
      tags: true

俗话说“好记性不如烂笔头”，各个安全社区各自为战，当我们想要搜索某一方面的文章的时候总是得在各个平台之间来回横跳，于是乎，一个平台文章聚合搜索的想法诞生了。
然后正好我想有一个自己的博客，于是乎两者融合在了一起。
下面简单介绍各个导航的区别：
个人文章：本人的笔记、复现、总结等或者本人参与的共同创作。
收集文章：手工从公众号收集保存的文章，更新频率看本人喜好所以比较慢。
聚合文章：从各大平台收集整理，由工具实现，每天更新。
很惭愧，只做了一点微小的工作。