通过某OA批量获取CNVD证书的技巧

一些刚刚接触CNVD的师傅可能对于平台获取证书的条件还不是很了解，通常对于证书站都是没目标、没思路、没想法。

不急，下面这篇文章来自于讲师“爱挖洞的小崔”，从真实案例通达OA批量获取证书100+的经验，来分享本次的主题《通达OA证书批量获取的技巧》，话不多说，我们开始吧！

师傅们的目标是获取证书，首先拿到一个目标资产，第一步就是确定该资产是否需达到了CNVD下证书的条件才可以进行下一步的漏洞挖掘等后续操作，而CNVD获取证书的条件如下图所示：

可以看到通用型漏洞获取证书的条件是中危及以上且CVSS（可以理解成危害）大于4.0分。而事件型漏洞获取证书的条件则更为苛刻，需要国家或者政府的直属事业单位的高危漏洞。

而这里在通用型证书颁发的条件中，官方没有写到一点，也可以理解为隐性条件，就是该企业的注册资金必须大于5kw或者该企业的产品影响(互联网资产数量)很广泛，而不是像下图所说的所有通用型中危漏洞都可以获取证书的。

这点是想要获取证书的师傅们必须要了解的一个坑点。

我们本次的目标是通达OA，首先我们确定的是其属于通用型漏洞，因为是OA产品所以字面理解，OA产品是公用的，通用的，所以产品的漏洞都可以叫做通用型漏洞。接下来我们去寻找其是否符合下证书的条件，从官网上我们发现该OA的所属公司。

在企查查或者天眼查中查找该单位的注册资金不足5KW，所以不满足下发证书条件。

但是在互联网资产中，通达OA的互联网资产在同类型OA中相比是非常多的，所以即使注册资金条件不满足的的情况下，也是可以达到下证书条件的。

此时确认该产品可以获取到证书，接下来就是寻找漏洞了！

这里我们通过源代码找到一处可能存在SQL注入的点，如下图：

这里$W_EXPERIENCE_ID参数是可控的，在11行中去拼接了SQL语句，在12行将SQL语句执行。

在功能点处，我们访问该文件（俗称路由）也可以看到该功能点，如下图的删除某人的工作经历，就是该处可能存在SQL注入的功能点。

接着看看代码，表面上上述代码带到12行去执行了，但是在执行之前使用了db_query()方法，在该方法中其实是存在一定的全局过滤的。

可以看到，这里的使用了很多正则匹配进行过滤的，单双引号是会被替换为空的。

通过正则匹配过滤掉大部分的SQL关键字，如果匹配到关键字符，就会输出提示“不安全的SQL语句”并将检测到的SQL语句打印出来。

这里使用union select则会被检测，如下图所示：

既然我们可以进行代码审计，那么我们就可以通过其代码的检测，来尝试绕过该处的检测从而达到SQL注入的效果，这也是我课程中提到的审计的好处。

通过上述代码的过滤机制，其实我们可以通过笛卡尔积盲注的方式来进行SQL注入。

payload如下：

1)%20and%20(substr(DATABASE(),1,1))=char(116)%20and%20(select%20count(*)%20from%20information_schema.columns%20A,information_schema.columns%20B)%20and(1)=(1

将ASCII码改成115则不会延时，所以这里通过笛卡尔积绕过了通达OA的全局过滤。

1)%20and%20(substr(DATABASE(),1,1))=char(115)%20and%20(select%20count(*)%20from%20information_schema.columns%20A,information_schema.columns%20B)%20and(1)=(1

本次的主题是进行批量证书的获取，所以接下来的部分才是文章的精华部分，我们通过审计绕过了通达OA的全局过滤，所以我们去思考，是不是所有使用db_query()函数去执行SQL语句的地方都可以造成SQL注入呢？答案是可以的！

我们通过过滤代码中发现所有没被单双引号包裹的参数，且带到db_query()去执行SQL语句的功能点都可以造成SQL注入。

所以我们就要针对性的去找一些没有被单双引号包裹的参数，且会被带到db_query()去执行的功能点或者说是文件。

如下图所示的文件：

其实在审计的过程中，通过观察开发者的开发规律，我们发现，通达OA的所有delete文件也就是删除XXX功能点处都没有进行单双引号包裹，都是可以进行利用的。

这也是课程中讲到的一个点，一个产品的代码中具有一定的规律，所以如果发现开发者存在的一些开发习惯，就可以找到代码中存在的一些通用性安全问题，从而实现批量漏洞的挖掘。

我们在代码文件中搜索包含delete关键字的文件

果不其然，其中包含delete关键字的500+文件中，有100+文件存在SQL注入的问题，也就是说有100+处功能点存在SQL注入。

找到其代码中的规律，其实想要更快的批量进行证书获取的话，我们可以通过phpstorm正则中找到，SQL语句中没有被单双引号包裹的参数即可更精确快速的定位漏洞文件，这是给师傅们提供的另一个思路。

想要了解《CNVD证书挖掘课程》的师傅可以加课程老师进行咨询。

公开课录播下载地址

链接：https://pan.baidu.com/s/18Rn7PkK-9J7zQ68H-nMwWw 提取码：LYWA

原文始发于微信公众号（零幺sec）：通过某OA批量获取CNVD证书的技巧